それはですね、pat_pswdとdoc_pswdのパラメータが適切に処理されていないためです。つまり、ユーザーが入力したパスワードが暗号化されずにサーバーに送られてしまう可能性がある。たとえば、このファイルが運用環境に導入されている場合、パスワードが平文で保存されるリスクがあります。

まず第一に、自身の環境に「subhajitkhan online-clinic-management-system」が導入されているかを確認する必要があります。もし導入されていれば、phpの設定ファイルやpatientregistration.phpのコードを点検し、暗号化処理が本当に実装されているかを確認してください。また、入力値が正規表現などで検証されているかを確認しましょう。

現時点ではプロジェクト側が対応を公表していないため、パッチは存在しません。しかし、今後の対応情報を注視する必要があります。たとえば、NVDやプロジェクトの公式リポジトリで更新情報を定期的にチェックし、変更管理の文書に記録しておくことが重要です。また、監視ツールで異常なアクセスや不正なパラメータの送信を検出できるようにしておけば、リスクを最小限に抑えられます。

公開された攻撃手法があるためです。リモートから攻撃可能な点が重要です。たとえば、医療機関のシステムにこのソフトウェアが使われていれば、患者の個人情報が漏洩する可能性があります。また、この脆弱性が発見された背景として、プロジェクト側はすでに問題を報告されていても対応していないという点も、運用者にとっての警鐘です。

「確認→点検→監視→情報収集」です。まず導入状況を確認し、phpの設定とコードを点検。その後は、異常を監視し、ベンダーの対応情報を注視してください。そして、変更管理の文書に記録しておくことで、後日トラブルが発生した際にも迅速に対応できます。