InterSystems Corporation - CVE-2026-111594
Date de publication :
Il s’agit d’une vulnérabilité dans le superserver d’InterSystems IRIS for Health, le processus qui écoute sur un port TCP dédié (1972 par défaut) et traite les connexions clientes JDBC, ODBC et CSP/REST.
InterSystems IRIS for Health est une plateforme de données destinée aux applications de santé. Elle combine un système de gestion de base de données, des fonctions d’interopérabilité et d’analyse. Elle prend en charge des standards d’échange de données de santé tels que FHIR.
Le chiffrement TLS/SSL de ces connexions est désactivé par défaut. Le niveau « Enabled » autorise aussi les échanges non chiffrés. Un attaquant qui accède au chemin réseau ou à du trafic capturé obtient le trafic d’authentification en clair. Il le rejoue ensuite vers le superserver.
Elle permet une atteinte à la confidentialité des données et un accès non autorisé avec les privilèges du compte capturé.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Atteinte à la confidentialité des données
Exploitation
CWE-319
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
InterSystems IRIS for Health versions 2026.2.0.221
- InterSystems IRIS for Health versions 2026.1.0.235
- InterSystems IRIS for Health versions 2025.3.0.226
Contournement provisoire
• InterSystems IRIS for Health 2026.1.0.235 : configurer le niveau « SSL/TLS support level » du superserver sur « Required » avec une configuration TLS, et des clients qui vérifient la chaîne de confiance et l’identité du serveur.
• InterSystems IRIS for Health 2025.3.0.226 : configurer le niveau « SSL/TLS support level » du superserver sur « Required » avec une configuration TLS, et des clients qui vérifient la chaîne de confiance et l’identité du serveur.
• Toutes versions : paramétrer « Allowed Incoming Connections » pour les services qui le prennent en charge, retirer les fonctions inutiles du superserver par défaut et répartir les fonctions sur plusieurs superservers, chacun ayant ses propres paramètres TLS.