電子病歷OpenClinic存在漏洞被破解

2020-12-26 51cto

電子病歷OpenClinic存在漏洞被破解

某開源的病歷管理平臺存在四個安全漏洞，從而允許遠程代碼執行、竊取患者數據等操作。

作者：~陽光~來源：嘶吼網|2020-12-04 10:36

在共享的電子病歷OpenClinic應用程式中發現了四個漏洞。其中人們最關注的是，一個允許遠程的未經認證的攻擊者從應用程式中讀取患者的個人健康信息(PHI)的漏洞。

Bishop Fox的研究人員表示，OpenClinic是一款開源的健康記錄管理軟體;它的最新版本是2016年發布的0.8.2版，所以漏洞仍然沒有被修補。該項目組沒有立即回復Threatpost的評論。

據研究人員的說，這四個漏洞涉及身份驗證缺失;不安全的文件上傳;跨站腳本攻擊(XSS);以及路徑遍歷。最嚴重的漏洞(CVE-2020-28937)是由於缺少對醫療測試信息請求的認證的檢查。

通過認證的醫護人員可以為患者上傳醫學檢測文件，然後將其存儲在'/tests/'目錄中。遺憾的是，系統沒有要求患者登錄就能查看檢驗結果。

該公司在周二的帖子中寫道，

  • 任何擁有有效的醫療檢測文件完整路徑的人都可以訪問這些信息，這可能會導致存儲在應用程式中的任何醫療記錄的PHI丟失。

一個好消息是，攻擊者需要知道或猜測存儲在"/tests/"目錄中的文件名，才能利用該漏洞。

研究人員寫道：

  • 不過，醫學測試文件名是可以猜測的，有效的文件名也可以通過伺服器或其他網絡基礎設施上的日誌文件獲得。

醫療記錄是地下網絡犯罪的熱門商品——瘋狂的想盜用身份或進行網絡釣魚的詐騙者可以利用存儲的個人信息進行使人信以為真的犯罪。

Bishop Fox發現的另一個漏洞允許經過驗證的攻擊者在應用伺服器上進行遠程代碼執行操作。這個危險的文件上傳漏洞(CVE-2020-28939)允許管理員和管理員角色的用戶上傳惡意文件，如PHP Web shell，從而導致應用伺服器上的任意代碼執行漏洞。

據Bishop Fox介紹，

  • 具有為患者輸入醫學測試權限的管理員用戶能夠使用'/openclinic/medical/test_new.php文件' 將文件上傳到應用程式中。這個功能沒有限制可以上傳到應用程式的文件類型。因此，用戶可以上傳一個包含簡單的PHP web shell的文件

應用程式的惡意用戶可以利用這個漏洞獲得敏感信息的訪問權，升級權限，在應用程式伺服器上安裝惡意程序，或者利用伺服器作為跳板獲得對內部網絡的訪問權。

第三個漏洞是一個中等嚴重程度的存儲型XSS漏洞(CVE-2020-28938)，允許未經認證的攻擊者嵌入一個有效載荷，如果被管理員用戶點擊，攻擊者的帳戶將會提升權限。

根據Bishop Fox的說法，

  • 雖然應用程式代碼中包含了防止XSS攻擊的措施，但發現這些措施可以被繞過。用戶被允許輸入的HTML標籤被限制在/lib/Check.php中指定的一個白名單中。

Bishop Fox稱，這意味著在真實的攻擊場景中，攻擊者可以向受害者發送一個惡意連結--當點擊該連結時，將允許他們以另一個用戶的身份來進行攻擊。

研究人員解釋說，

  • 為了驗證漏洞的影響，在患者的醫療記錄中嵌入一個XSS有效載荷，此時具有較低特權的用戶角色，當管理員點擊時，這個有效載荷在攻擊者的控制下創建了一個新的管理員帳戶，從而允許攻擊者升級權限。

最後一個漏洞是一個低影響程度的路徑遍歷問題(沒有分配CVE)，可以允許通過身份驗證的攻擊者將文件存儲在應用程式伺服器的指定目錄之外。

根據研究人員的說法，

管理員用戶可以通過'/admin/theme_new.php'文件向應用程式上傳新的主題，這會導致在安裝OpenClinic的目錄下的css文件夾下創建新文件。同時可以從css文件夾中導出來，將文件存儲在文件系統的其他地方。

Bishop Fox在8月底首次發現了這些bug，並多次嘗試通過郵件聯繫OpenClinic開發團隊，但都沒有得到回應。

研究人員說，

  • 目前任何版本的OpenClinic都存在已發現的漏洞，建議改用其他醫療記錄管理軟體。

本文翻譯自：https://threatpost.com/electronic-medical-records-openclinic-bugs/161722/如若轉載，請註明原文地址。

【編輯推薦】

【責任編輯：

姜華

TEL：（010）68476606】

點讚 0

相關焦點

  • 基於電子病歷的繪王電子籤名解決方案
    隨著時代的快速發展，信息技術已經廣泛應用到各個領域中，在醫療體系深化改革形勢下，醫院也逐步實現信息化管理，電子病歷就是信息化在醫院管理中的產物。電子病歷的實行進一步提高醫療服務效率、改善群眾就醫體驗並節約了更多的紙質成本。
  • 曝任天堂Switch遭破解:漏洞不能修復
    IT之家1月6日消息 近日在德國舉行的34c3會議上，幾位黑客展示了其發現的存在於Switch上的內核漏洞，並表示通過該漏洞可以運行自製固件，不過該漏洞只在系統版本為3.0.0上有效，因為任天堂已經在v3.0.1上修復了漏洞。
  • e籤寶電子籤名助力醫院打造合規的電子病歷系統
    醫療機構如何擁有合規的電子病歷系統？什麼是電子病歷首先我們了解一下什麼是電子病歷。（1）《電子病歷應用管理規範(試行)》相關規定：2010年，原衛生部發布《電子病歷基本規範(試行)》，但隨著電子病歷應用的不斷推進，其部分規定已經不適應新形勢下電子病歷的管理要求。2017年，衛計委發布《電子病歷應用管理規範(試行)》(以下簡稱《規範》)，同年4月1日起正式施行。
  • 大疆被指控手機App存在安全漏洞 DJI 反駁:阻止禁飛區破解
    列 4 個資安漏洞Synacktiv 的研究分析指出 DJI GO 4 以下的 4 個安全問題：可以繞過 Google Play 商店進行自我更新顯然允許中國社交媒體（Weibo）SDK收集私人用戶信息較舊版本（4.3.36）允許中國分析公司MobTech收集私人用戶數據關閉時可以自行重啟
  • 清華女學霸「破解」北鬥,將「漏洞」賣給美國,現狀令人「心疼」
    由於歷史原因，我國在科技領域的起步較晚，與發達國家存在很大的差距，為了不至於被拉下，國家非常重視人才的培養，將很多有天分的學生送到國外深造。這些出國深造的學生中，有一些人學成歸來，為我國的科技發展做出了卓越的貢獻，當然了，也有一些人抵擋不住高薪的誘惑，選擇「背叛」國家，留在當地工作。
  • 思科SD-WAN軟體root漏洞曝光 美國特百惠網站遭黑客攻擊
    圖片來源Pexels2.猶他州衛生大學遭網絡釣魚攻擊，導致患者信息被洩露據外媒報導，研究人員近日披露，猶他州衛生大學遭網絡釣魚攻擊，黑客可利用漏洞在未經授權的情況下訪問電子郵件帳戶據悉，洩露信息包括患者姓名、出生日期、病歷號、接受護理的臨床信息等。截至目前，醫院已向患者發送通知，並建議患者檢查收到的聲明信息以保護個人隱私。
  • 秒開處方泛濫,審核形同虛設,網售處方藥存在不少漏洞
    在外賣平臺上將左氧氟沙星滴眼液加入購物車，提交患者信息，沒等描述病情，一份來自網際網路醫院的電子處方就已「秒開」完成。儘管沒有藥師籤名，但系統自動顯示審核通過，商家接單後，藥品即刻進入配送環節……記者調查發現，目前網售處方藥仍存在不少漏洞，給用藥安全帶來諸多隱患。
  • 谷歌曝iPhone重大漏洞!2分鐘即可「隔空」破解所有數據!
    據外媒報導稱，來自谷歌研究員比爾，發現了蘋果手機等設備存在重大漏洞：無需接觸IPhone就可以獲取一切信息。比爾用6個月的時間成功控制了隔壁房間的一臺蘋果手機，入侵過程只要2分鐘左右，就可以訪問手機上的所有數據。
  • 慧揚健康發布電子病歷2.0方便醫護人員提高工作效率
    近日,慧揚健康發布電子病歷EMR2.0。從系統功能上看,慧揚健康電子病歷2.0,它可以做到結構化、規範化病歷記錄。同時,生成自動化病程,提升醫護人員日常工作效率。除此之外,EMR2.0是以患者為中心組織數據,可以清晰展現診療過程全景,並做到一體化面向管理的質量監控應用以及面向科研的數據分析應用。
  • 嘉和美康IPO:連續六年電子病歷市場排名第一,至今仍未盈利
    張繼生醫生說：我們醫生寫病歷，有病歷系統，填出來的時候就發現了，這些人的共同點都是在華南海鮮待過。可以說，這次疫情中醫生和護士們的貢獻有目共睹，但同時，電子病歷系統的作用也是功不可沒。近日，在中國電子病歷市場中連續六年排名第一的嘉和美康（北京）科技股份有限公司（簡稱「嘉和美康」）的上市申請已獲科創板受理。
  • 破解有戲!PS4全新內核級漏洞被發現:存於7.02版本及以下系統
    日前，知名開發者theflow0公布了最新發現，在系統版本不高於v7.02的PS4上存在內核級漏洞。不過，目前存在的限制是，該內核漏洞的實現需要錨定此前的WebKit漏洞，WebKit漏洞只在v6.72以下系統版本中有效。根據索尼PlayStation中國官網公布的信息，目前PS4的最新固件是v7.51。
  • 特斯拉Model X無鑰匙鎖定系統存在漏洞,黑客破解後獲賞5500美元
    近日，黑客揭露了特斯拉Model X SUV的無鑰匙鎖定系統的漏洞。比利時魯汶大學（KU Leuven）的研究人員通過複製鑰匙，利用無線電波進入車內，成功地啟動了這款全電動SUV。這些漏洞在過去就已經被曝光，而特斯拉對實體提出其汽車安全系統的漏洞表示讚賞。事實上，這家汽車製造商曾多次鼓勵黑客嘗試破解該公司的汽車。在2014年舉辦了Pwn2Own活動和漏洞獎勵計劃之後，特斯拉鼓勵用戶和黑客發現其電動汽車安全系統問題，從而導致了軟體和網絡安全發展的改善。
  • 【安全圈】Grindr 存在讓黑客劫持用戶帳號的漏洞
    日前，該應用修復了一個允許任何人僅通過電子郵件地址劫持和控制任何用戶帳號的安全漏洞。法國安全研究員 Wassime Bouimadaghene 發現了這個漏洞並向 Grindr 報告了這個問題。 當他沒有得到回覆時，Bouimadaghene 向安全專家 Troy Hunt 分享了這個漏洞的細節細節。
  • 病歷:觸痛村醫維權軟肋
    據陝西省山陽縣衛生局徐毓才介紹，山陽縣要求村衛生室與鄉鎮衛生院用統一的病曆本，但大部分鄉村醫生並不用。類似的情況在江蘇省大豐區也存在。    據江蘇省大豐區衛生局預防保健科楊維平介紹，當前大豐區鄉村醫生可以使用同鄉鎮衛生院相同格式的門診病歷，也可以在村衛生室信息系統內直接使用電子門診病歷，但即使這樣，大多數鄉村醫生仍然不寫病歷。
  • 解析雷蛇支付電子錢包使用中的漏洞
    雷蛇支付（Razer Pay）在新加坡和馬來西亞被廣泛使用，在該篇Writeup中，作者通過APP逆向分析，利用Frida調試，發現了雷蛇支付電子錢包（Razer Pay Ewallet）中的用戶籤名（Signature）生成漏洞，由此可讀取雷蛇支付用戶的聊天記錄、刪除用戶綁定的銀行帳戶並竊取用戶個人敏感信息，漏洞最終獲得了雷蛇官方將近$6,000的獎勵。
  • 易聯眾助力廣州市婦女兒童醫療中心通過國家電子病歷...
    易聯眾助力廣州市婦女兒童醫療中心通過國家電子病歷應用水平七級評審） 近日，「2019年度電子病歷系統功能應用水平分級評價新增五級及以上醫療機構名單」公布。
  • 關於Microsoft Exchange存在遠程代碼執行 高危漏洞的預警通報
    近日，微軟發布Microsoft Exchange 遠程代碼執行漏洞，經過身份認證的攻擊者可利用此漏洞以SYSTEM用戶權限在目標系統上執行任意代碼。該漏洞編號：CVE-2020-17144，安全級別為「高危」。
  • 小米電動滑板車爆漏洞,黑客可以遠程控制加速和鎖車!
    電動滑板車在美國蔚為風潮，資安公司Zimperium近期發布一份研究報告，透露小米電動滑板車的藍牙裝置存在漏洞，黑客可以用手機替路上的滑板車加油門、踩煞車，引發安全隱患。對此，Bird發言人聲稱，這個漏洞他們1年前就已知曉，不會對旗下運行的共享電動滑板車造成任何影響；另一家共享電動滑板車公司Lime則表示，他們並未使用任何M365型號的車輛。在小米正式發布更新修復漏洞前，車主只要在使用時，保持手機與滑板車之間的連接，黑客就無法趁虛而入、植入程序奪取操控權。共享電動滑板車在歐美引發的風潮與商機，讓它開始進入黑客的視線之中。
  • 小學生不到5秒就能破解小黃車?記者揭秘共享單車漏洞……
    近日，一段小學生5秒破解小黃車的視頻在網上流傳，這種行為讓不明真相的網友們吵起來了... 只要學校門口有這種車 小學生幾秒就能打開騎走
  • 谷歌公布iOS 12.4漏洞詳情:黑客可遠程破解iPhone、打開相機與麥克風
    屢屢在安全事件中立功的谷歌Project Zero團隊表示，只需要花費幾分鐘就可以遠程破解掉一臺iOS設備。蘋果用戶不用太擔心，該漏洞出現於iOS 12.4系統中，在谷歌發現並報告給蘋果後，後者已經在iOS 12.4.1中予以修復。