飞利浦电子病历系统被曝出高危漏洞,可泄露患者敏感数据
2021-11-10 08:55:41 Author: www.freebuf.com(查看原文) 阅读量:17 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

据the hacker news网站报道,美国网络安全和基础设施安全局 (CISA) 发出警告称,飞利浦的电子病例系统Tasy EMR存在严重漏洞,攻击者可远程利用这些漏洞从患者数据库中提取敏感的个人数据。

受影响的主要是Tasy EMR HTML5 3.06.1803及之前的版本,其中的两个SQL注入缺陷——CVE-2021-39375和CVE-2021-39376可让攻击者修改SQL数据库命令,从而进行未经授权的访问并泄露敏感信息,甚至执行任意的系统命令:

CVE-2021-39375:允许通过WAdvancedFilter/getDimensionItemsByCode FilterValue 参数进行 SQL 注入

CVE-2021-39376:允许通过 CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST 或 CD_USUARIO_CONVENIO 参数进行 SQL 注入

这两个漏洞的严重性评分高达8.8分(满分10分),但是,利用这些漏洞需要攻击者已经拥有访问系统的凭证。

飞利浦 Tasy EMR主要用于拉美地区的950多家医疗机构,其设计为集成的医疗信息学解决方案,可实现临床、组织和行政流程的集中管理,包括整合分析、计费以及医疗处方的库存和供应管理。

飞利浦在一份咨询报告中指出,目前已经获取了相关的问题信息,但尚未收到有关利用这些漏洞或相关临床使用事件的报告,认为漏洞不太可能影响临床使用,也不会对患者造成伤害。

但为了以防万一,专家还是建议,所有使用该系统的医疗机构应尽快更新到最新的系统版本。

参考来源:https://thehackernews.com/2021/11/critical-flaws-in-philips-tasy-emr.html


文章来源: https://www.freebuf.com/articles/304211.html
如有侵权请联系:admin#unsafe.sh