CVE-2025-30042

CGM CLININET: Obejście uwierzytelnienia kartą chipową poprzez sam numer certyfikatu

CVSS 9.0v4.0pub. 2026-03-02upd. 2026-03-09

System CGM CLININET umożliwia atakującemu uwierzytelnienie się bez fizycznej karty chipowej ani klucza prywatnego — wystarczy sama znajomość numeru certyfikatu. Jest to podatność krytyczna, ponieważ całkowicie podważa mechanizm uwierzytelniania dwuskładnikowego opartego na kartach chipowych.

▸ Pokaż oryginał (EN)

The CGM CLININET system provides smart card authentication; however, authentication is conducted locally on the client device, and, in reality, only the certificate number is used for access verification. As a result, possession of the certificate number alone is sufficient for authentication, regardless of the actual presence of the smart card or ownership of the private key.

🤖 Analiza AI

Jak działa

Uwierzytelnianie kartą chipową w systemie CGM CLININET jest realizowane lokalnie na urządzeniu klienckim, a weryfikacja dostępu opiera się wyłącznie na numerze certyfikatu. W praktyce system nie sprawdza ani faktycznej obecności karty chipowej, ani posiadania odpowiadającego jej klucza prywatnego. Oznacza to, że osoba znająca numer certyfikatu innego użytkownika może podszyć się pod niego i uzyskać dostęp do systemu bez żadnego dodatkowego składnika uwierzytelniającego.

Skutki

Atakujący posiadający numer certyfikatu dowolnego użytkownika może uzyskać pełny nieautoryzowany dostęp do systemu CGM CLININET z uprawnieniami tego użytkownika, co w środowisku medycznym grozi ujawnieniem, modyfikacją lub usunięciem wrażliwych danych pacjentów oraz zakłóceniem ciągłości działania systemu szpitalnego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się weryfikację, czy proces uwierzytelniania został przeniesiony na stronę serwera i obejmuje kryptograficzne potwierdzenie posiadania klucza prywatnego (np. przez mechanizm challenge-response), a nie jedynie sprawdzanie numeru certyfikatu.

Kogo dotyczy

System CGM CLININET — wersje wskazane w referencjach producenta

Uwagi

Szczegółowy opis podatności opublikowany został przez CERT Polska (cert.pl) w marcu 2026 roku. Wektor ataku AV:A wskazuje, że atak wymaga dostępu do sieci lokalnej (adjacent network), co nieznacznie ogranicza zasięg zagrożenia w porównaniu z podatnościami dostępnymi zdalnie przez Internet.

CVSS Vector

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X