異なる医療システム間で臨床データや管理データを接続・ルーティング・変換・交換するクロスプラットフォームの医療統合エンジン「NextGen Healthcare Mirth Connect」(Mirth Connect)に、3件の高深刻度脆弱性が確認されました。これらの脆弱性は、SQLコマンドで使用される特殊要素の不適切な無害化処理と、XML外部実体参照(XXE)の不適切な制限に起因するものです。悪用に成功した場合、サービス拒否(DoS)攻撃やデータの窃取が可能になるおそれがあります。
CVE-2026-82583は、認証済みユーザーがDatabase Connector APIを通じて任意のSQLを実行できてしまう脆弱性です。悪用されると、接続先システムに保存されている認証情報の漏えい、任意のファイル書き込み、サービス拒否状態の引き起こしにつながるおそれがあります。この脆弱性のCVSS v3.1深刻度スコアは8.3(v4.0: 7.2)とされています。
CVE-2026-78224は、XSLT Transformer Stepが適切なセキュリティオプションを設定しないままTransformerFactoryを素の状態で構築していることに起因するものです。XXEインジェクションを通じたデータの窃取やサービス拒否攻撃が可能になるおそれがあります。この脆弱性のCVSS v3.1深刻度スコアは8.2(v4.0: 8.8)です。
CVE-2026-82578も同様に、XXEインジェクションを通じたデータの窃取やサービス拒否攻撃を許してしまう脆弱性です。XMLバッチ処理が有効になっており、かつXPathオプションが選択されている場合、生のバッチ入力がエンティティ制限のないデフォルトのXPath/JAXP設定を通過してしまいます。この脆弱性のCVSS v3.1深刻度スコアは7.5(v4.0: 8.7)です。
これら3件の脆弱性はいずれもv4.7.1以前のバージョンに影響します。NextGenはMirth Connect v4.7.2で3件すべてを修正済みです。顧客に対しては、できるだけ早く修正済みの最新バージョンへアップデートするよう推奨しています。最新版はNextGen Healthcareの顧客ポータルからダウンロードできます。
これらの脆弱性はセキュリティ研究者のAbhinav Agarwal氏によって発見され、CISAに報告されました。
翻訳元: https://www.hipaajournal.com/high-severity-vulnerabilities-nextgen-healthcare-mirth-connect/
