Mirion Medical EC2 Software NMIS BioDose Use of Client-Side Authentication

El software NMIS/BioDose utiliza una cuenta de base de datos compartida por todos los usuarios, con la contraseña verificada solo en la aplicación y no en la base de datos. Si alguien elude la aplicación, puede acceder directamente a la base de datos con permisos completos.

CVE-2025-61940 explota autenticación del lado del cliente (CWE-603), donde NMIS/BioDose V22.02 y versiones anteriores usan una cuenta de servicio SQL Server común para todas las conexiones. La autenticación se valida solo en la capa de aplicación; un atacante con acceso a la red de la base de datos puede eludir las restricciones del software cliente y consultar directamente la base de datos usando las credenciales compartidas, comprometiendo confidencialidad e integridad de los datos.