В InterSystems IRIS for Health выявлена уязвимость, при которой конфиденциальные сведения могут передаваться между клиентом и сервером без шифрования. Если канал не защищён, содержимое обмена доступно для чтения и изменения. Затронуты ветки 2025.3, 2026.1 и 2026.2.
Статус проверки и перехват данных
В уведомлении CISA InterSystems отметил как затронутые сборки 2025.3.0.226, 2026.1.0.235 и 2026.2.0.221. Эти сборки относятся к веткам 2025.3, 2026.1 и 2026.2. Вендор считает их затронутыми. Список ограничен перечисленными сборками.
Проблема относится к передаче конфиденциальных сведений в открытом виде. Клиентское подключение к IRIS superserver может работать без TLS. TLS - протокол шифрования транспортного уровня. IRIS superserver - компонент, который принимает клиентские соединения. В таком режиме злоумышленник видит служебные и прикладные сведения без расшифровки.
Атака идёт по сети. Учётные данные не нужны, участие пользователя не требуется. Злоумышленник, получивший доступ к каналу, может прочитать содержимое обмена. Он также может подменить сведения или нарушить работу соединения.
Для перехвата достаточно оказаться на пути трафика между клиентом и сервером. Если данные изменены, клиент может получить ложный ответ. Нарушение соединения приводит к сбою обмена.
По классификации CWE (перечень типов слабых мест) проблема относится к передаче конфиденциальных сведений в открытом виде. Номер CWE-319 указывает на отсутствие шифрования канала.
По шкале CVSS (общая система оценки уязвимостей) 3.1 оценка составляет 8.1 из 10, уровень High. Сложность атаки в этой версии оценивается как высокая. Сеть остаётся вектором атаки, учётные данные и участие пользователя не требуются.
По шкале CVSS 4.0 в уведомлении указано 9.2 из 10, уровень Critical. Здесь сложность атаки ниже, но присутствует дополнительное условие.
Исправленной версии в уведомлении нет. Приведены только меры по снижению риска.
Основная мера - настроить IRIS superserver так, чтобы клиентские подключения требовали SSL/TLS. В настройке есть три режима.
"Отключено" означает, что клиентские соединения не используют TLS. "Разрешено" допускает TLS, но не требует его. "Обязательно" принудительно включает TLS для всех клиентских подключений. Режим "Разрешено" оставляет выбор за клиентом, поэтому часть подключений может остаться без шифрования. Принудительный режим закрывает возможность случайного подключения без шифрования.
Дополнительные указания InterSystems предлагает получать в центре поддержки компании. Для доступа к нему нужна учётная запись. Обновления уведомления CISA и сообщения InterSystems остаются источником сведений об исправлении. Номер исправленной сборки в уведомлении не назван.
CISA советует ограничить сетевой доступ к системам и не выставлять их в интернет. Сети управления стоит разместить за межсетевым экраном. Их также рекомендуется изолировать от бизнес-сети.
Для удалённого доступа применяют VPN (виртуальную частную сеть) и обновляют его до актуальной версии. CISA напоминает, что VPN защищает не лучше подключённых к нему устройств. CISA также напоминает о необходимости анализа влияния и оценки риска перед внедрением защитных мер.
CISA сообщает, что сведений об эксплуатации уязвимости в реальных атаках ей не поступало. Публикация уведомления раскрывает технические детали, но не подтверждает атаки. Уведомление впервые опубликовано 22 октября 2026 года. Об уязвимости CISA и InterSystems сообщил Abhinav Agarwal.
Подозрительную активность CISA предлагает передавать ей для отслеживания. Отдельно CISA советует не открывать ссылки и вложения в неожиданных письмах.
Для администраторов IRIS for Health главное - проверить режим TLS на IRIS superserver. Пока исправления нет, обязательное шифрование клиентских подключений остаётся основной защитой. Риск сохраняется до включения TLS или выпуска обновления. Проверка режима занимает немного времени. Последствия перехвата затрагивают конфиденциальность и целостность обмена.
Ссылки
