Senha de administrador SQL embutida expõe sistemas de saúde Bp Premier

O Best Practice Software Bp Premier anterior à versão 1.14.1.1128 traz uma senha administrativa do Microsoft SQL Server embutida no código, compartilhada entre todas as instalações e impossível de alterar sem quebrar a aplicação. Isso permite que atacantes com acesso de rede ao banco de dados entrem como sysadmin, contornem a autenticação do aplicativo e executem comandos do sistema operacional como SYSTEM.

É uma falha crítica de severidade 9.8, no estilo de risco de cadeia de suprimentos, em software de saúde, onde dados de pacientes e operações clínicas já são alvos valiosos. A correção é atualizar o Bp Premier para além da 1.14.1.1128, trocar e isolar as credenciais do banco e restringir o acesso de rede à instância SQL Server.