CVE-2026-0856

Mesalvo MEONA (MEONA Client ve MEONA Server) üzerindeki Hatalı Erişim Kontrolü zafiyeti, kimliği doğrulanmış bir MEONA kullanıcısının MEONA Client'ın yönetimsel işlevlerine (yönetim paneli) erişmesine olanak tanır. MEONA Server, MEONA Client tarafından beyan edilen rolü bağımsız olarak doğrulamamaktadır. Geçerli bir MEONA kullanıcı hesabına sahip olan ve işletmeci hastane ağındaki bir cihazda MEONA Client'ın değiştirilmiş bir kopyasını çalıştırabilen bir kullanıcı, yönetici rolü beyan ederek standart kullanıcı kimlik bilgileriyle yönetimsel işlevlere erişebilir. İstismar şunları gerektirir: (1) işletmeci hastane tarafından verilmiş geçerli bir MEONA kullanıcı hesabı; (2) halka açık İnternet'e açık olmayan, yalnızca kapalı hastane ağları içinde işletilen MEONA Server'a ağ erişimi (bir hastanenin bu ağa uzaktan erişime izin verdiği durumlarda, bu erişim yalnızca hastanenin kontrolündeki kendi uzaktan erişim altyapısı -örneğin VPN- üzerinden sağlanır); (3) MEONA Client ikili dosyalarını değiştirme ve değiştirilmiş kopyayı söz konusu ağdaki bir cihazda çalıştırma yeteneği. Mesalvo'nun sıkılaştırma kılavuzunda (MSA-2026-001) önerildiği üzere uygulama kontrolüne sahip yönetilen cihazlarda bu durum, cihaz üzerinde yerel yönetici ayrıcalıkları gerektirir. Mesalvo, bildirilen güvenlik testi dışında herhangi bir istismardan haberdar değildir. Bu sorun, 2024.10, 2025.04 ve 2026.03 sürümlerindeki MEONA Client ve MEONA Server'ı etkilemektedir. MEONA 2025.04.24 ve 2026.03.02 (2026 4. çeyrek için planlanmıştır) ile hafifletmeler mevcuttur; bkz. Mesalvo Güvenlik Bildirisi MSA-2026-001.