🇰🇷 한글 설명
NMIS/BioDose V22.02 및 이전 버전은 데이터베이스 접근 시 공통 SQL Server 사용자 계정을 사용합니다. 클라이언트 애플리케이션의 사용자 권한은 소프트웨어 내 비밀번호 인증으로 제한되지만, 실제 데이터베이스 연결은 항상 모든 데이터에 접근할 수 있는 권한을 가집니다.
💡 쉬운 설명
프로그램 로그인 화면에서 막아두더라도, 실제 데이터가 저장된 창고로 들어가는 열쇠가 모두에게 똑같이 노출되어 있는 상태입니다. 이를 통해 권한이 없는 사용자도 데이터베이스의 모든 정보에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
NMIS/BioDose V22.02 and previous versions rely on a common SQL Server user account to access data in the database. User access in the client application is restricted by a password authentication check in the client software but the underlying database connection always has access. The latest version of NMIS/BioDose introduces an option to use Windows user authentication with the database, which would restrict this database connection.
📍 영향받는 시스템
NMIS/BioDose V22.02 및 이전 모든 버전
⚔️ 공격 벡터
클라이언트 소프트웨어의 인증을 우회하여 데이터베이스에 직접 연결함으로써 데이터에 접근
🛡️ 대응 방법
Windows 사용자 인증 기능을 지원하는 최신 버전으로 업데이트하여 데이터베이스 접근 권한을 제한
🔧 검증 코드
현재 설치된 NMIS/BioDose 버전을 확인하고, 데이터베이스 설정에서 Windows 인증 사용 여부를 점검하십시오.
nmis_version_check --version 2>/dev/null || echo 'Manual check required: Verify if Windows Authentication is enabled in DB settings'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server