CVE-2025-61940highCWE-603

CVE-2025-61940: falha de alta gravidade em Mirion Medical EC2 Software NMIS BioDose

Mirion Medical EC2 Software NMIS BioDose Use of Client-Side Authentication

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar EC2 Software NMIS BioDose

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 0.3%
Em resumo

O software NMIS/BioDose usa uma conta de banco de dados compartilhada por todos os usuários, com a senha verificada apenas no aplicativo e não no banco de dados. Se alguém contornar o aplicativo, consegue acessar o banco de dados diretamente com permissões totais.

Detalhe técnico

A CVE-2025-61940 explora autenticação baseada no cliente (CWE-603), onde o NMIS/BioDose V22.02 e versões anteriores utilizam uma conta de serviço SQL Server comum para todas as conexões. A autenticação é validada apenas na camada de aplicação; um atacante com acesso à rede do banco de dados pode contornar as restrições do software cliente e consultar o banco diretamente com as credenciais compartilhadas, comprometendo confidencialidade e integridade dos dados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
NMIS/BioDose V22.02 and previous versions rely on a common SQL Server user account to access data in the database. User access in the client application is restricted by a password authentication check in the client software but the underlying database connection always has access. The latest version of NMIS/BioDose introduces an option to use Windows user authentication with the database, which would restrict this database connection.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Produtos afetados
Mirion Medical · EC2 Software NMIS BioDose
CVEs relacionadas — Mirion Medical EC2 Software NMIS BioDose

No mesmo produto, das mais perigosas para as menos.

CVE-2025-62575HIGHMirion Medical EC2 Software NMIS BioDose Incorrect Permission Assignment for Critical ResourceEPSS 0.4%CVE-2025-64298HIGHMirion Medical EC2 Software NMIS BioDose Incorrect Permission Assignment for Critical ResourceEPSS 0.3%CVE-2025-64778HIGHMirion Medical EC2 Software NMIS BioDose Use of Hard-coded CredentialsEPSS 0.1%CVE-2025-64642HIGHMirion Medical EC2 Software NMIS BioDose Incorrect Permission Assignment for Critical ResourceEPSS 0.1%