CVE-2026-14162: Advantech Hospital Queuing Management: exposição de dados sensíveis na documentação de API
O Hospital Queuing Management da Advantech apresenta uma falha de exposição de dados sensíveis, classificada como ausência de autenticação em função crítica (CWE-306), que permite a atacantes remotos não autenticados acessar a documentação da API por meio de uma URL específica. A pontuação base CVSS 3.1 é 9.8 (crítica), e o TWCERT/CC também informa uma pontuação CVSS 4.0 de 9.3. O registro não lista versões afetadas nem corrigidas, portanto os administradores devem consultar os avisos referenciados e restringir o acesso aos endpoints de documentação.
Visão geral
Este aviso trata de um problema de exposição de dados sensíveis no produto Hospital Queuing Management, da Advantech. Segundo o registro, um atacante remoto não autenticado pode acessar uma URL específica e obter a documentação da API. A fraqueza está associada ao CWE-306, ausência de autenticação em função crítica.
Impacto
- A documentação exposta pode revelar a estrutura das interfaces da aplicação, o que pode ajudar um atacante a planejar atividades adicionais contra o sistema.
- O vetor CVSS 3.1 indica alcance pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade conforme pontuado pelo CNA.
- O registro também informa a pontuação CVSS 4.0 de 9.3, atribuída pelo TWCERT/CC.
Produtos e versões afetadas
O registro não lista versões afetadas nem versões corrigidas. Identificar as compilações vulneráveis exige consultar o fabricante ou os avisos referenciados, que não estavam disponíveis integralmente no registro.
Status de exploração
O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA não inclui este CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas, embora isso não descarte a ocorrência de exploração.
Correção e mitigação
- Consulte os avisos do TWCERT/CC (versão em chinês) e do TWCERT/CC (versão em inglês) para orientações do fornecedor.
- Entre em contato com a Advantech para confirmar as versões afetadas e a disponibilidade de correção. A ausência de versão corrigida no registro não significa que não exista correção.
- Restrinja o acesso de rede à aplicação para que os endpoints de documentação não fiquem acessíveis a partir de redes não confiáveis.
- Exija autenticação para qualquer caminho de documentação de API ou administrativo e remova a documentação do ambiente de produção quando ela não for necessária.
- Posicione os sistemas de filas hospitalares atrás de segmentação de rede para limitar a exposição de dados clínicos e de pacientes.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições não autenticadas a caminhos de documentação da API, especialmente de endereços externos.
- Monitore padrões de acesso incomuns a endpoints de documentação ou descoberta seguidos de requisições a outras interfaces da aplicação.
- Faça o inventário de todas as instâncias do produto e verifique se os endpoints de documentação respondem sem credenciais.
Limitações das informações disponíveis
O registro não inclui as versões afetadas ou corrigidas, o caminho específico da URL, o texto do aviso próprio do fabricante nem dados de telemetria de exploração além do valor EPSS. A pontuação CVSS 4.0 é informada pelo TWCERT/CC, e o registro não confirma quais compilações do produto são afetadas.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas, embora isso não descarte a exploração.
Quais versões estão corrigidas?
O registro não lista versões corrigidas. Consulte os avisos do TWCERT/CC e entre em contato com a Advantech para confirmar o status da correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.