JVNVU#94423160
Dentsply Sirona CDR DICOM に認証情報がハードコードされている問題

Dentsply Sirona (旧名 Schick Technologies) が提供する CDR DICOM は、歯科記録の管理ソフトウェアです。CDR DICOM には複数の認証情報がハードコードされているため、管理者または root 権限でアクセスされる可能性があります。

• CDR DICOM

認証情報がハードコードされている問題 (CWE-798) - CVE-2016-6530
CDR DICOM 5 およびそれ以前には、データベースの複数の認証情報がハードコードされているため、管理者または root 権限でアクセスされる可能性があります。

遠隔の攻撃者によって、管理者権限で当該製品のデータベースにアクセスされる可能性があります。

認証情報を更新する
開発者は、この問題による影響を軽減するためにデータベースの認証情報を更新したいユーザに向けて次の通り述べています。詳細は、開発者にご確認ください。

CDR Dicom uses default passwords to optimize its installation and to expedite the setup and configuration of the software. A potential risk exists where unauthorized individuals with knowledge of the default passwords, and internal access to CDR's SQL database, could retrieve the patient information stored by CDR exams.
(CDR DICOM は、セットアップおよび設定にかかる時間を短縮し、最適化するためにデフォルトのパスワードを使用しています。CDR DICOM のデフォルトパスワードを知っており SQL データベースに内部アクセス可能な攻撃者によって、CDR DICOM に保存された患者情報を取得される潜在的なリスクが存在します。)

Mitigation of this issue can be achieved in several ways. Ensuring network access to patient information is protected from improper use is one approach. Another would be to replace the default passwords with user-selected ones. This can be accomplished during a custom installation of SQL Server or by modifying the default credentials after installation.
(この問題の影響を軽減するにはいくつかの方法があります。不正に使用されないよう患者情報へのアクセスを制限するのがひとつの方法です。もうひとつは、デフォルトのパスワードをユーザの指定するものに置き換える方法です。SQL サーバのカスタムインストール時、またはインストール後に認証情報を変更することが可能です。)

Additional Information about the default passwords used by CDR, the options for mitigation, and general recommendation on keeping patient data safe, can be found on the company website at the following link: https://www.schickbysirona.com/items.php?itemid=19189
(CDR DICOM のデフォルトパスワードや緩和策、患者情報の安全な保持に関する一般的な推奨事項については、https://www.schickbysirona.com/items.php?itemid=19189 に掲載しています。)