开源管理软件 OpenEMR 被曝多个漏洞，可被用于攻陷医疗基础设施

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

研究人员在 OpenEMR 软件中发现了多个漏洞，可被远程黑客用于获取医疗记录并攻陷医疗基础设施。

OpenEMR 是一款为医疗组织机构设计的开源管理软件。这款免费的应用非常流行，且提供了大量用于管理医疗记录和医疗实践的功能。

瑞士代码质量和安全解决方案提供商 SonarSource 的研究人员今年早些时候表示，OpenEMR 受四种漏洞类型的影响，影响使用 Patient Portal 组件的服务器。这些漏洞类型包括命令注入、持久的跨站点脚本漏洞、不安全的 API 权限和 SQL 注入漏洞。

医疗组织机构使用 Patient Portal 使患者在线执行多种任务如和医生进行沟通、填充新的病患注册表单、预约、付款和处理配药请求等。

然而，SonarSource 公司的研究人员发现，如果启用了 Patient Portal 且其可从互联网访问，那么攻击者可通过链接他们所发现漏洞的方式完全控制 OpenEMR 服务器。

SonarSource 公司指出，Patient Portal 具有自己的 API 接口，可用于控制所有的门户操作。虽然使用该 API 要求进行认证，但研究员找到了绕过方法，可访问并修改病患数据，或者修改和后端用户关联的信息如管理员信息。如攻击者可修改管理员账户信息，则可利用该持久的 XSS 漏洞注入恶意代码，当目标管理员登录账户时，则可执行该恶意代码。之后，通过该 XSS 漏洞触发的 JavaScript 代码可利用研究员发现的命令注入漏洞。执行任意 OS 命令的能力可使攻击者完全控制 OpenEMR 服务器。

如果攻击者攻击的对象是具有地权限的用户而非管理员，则他们可利用 SQL 注入漏洞获得对病患数据库的访问权限并窃取有价值的数据。利用该 XSS 和命令注入缺陷要求获得管理员权限，但 SQL 注入漏洞可以普通用户权限遭利用。

漏洞已修复

SonarSource 公司从 OpenEMR 5.0.2.1 中发现了多个漏洞。5.0.2.2 版本已于8月份发布，修复了这些漏洞。目前漏洞详情已公开。

推荐阅读

Repo Jacking：依赖关系仓库劫持漏洞，影响谷歌GitHub等7万多个开源项目的供应链

FBI紧急警告：黑客利用开源SonarQube实例窃取政府和企业源代码

瑞士罗氏联网医疗设备存在漏洞病人有风险

原文链接

https://www.securityweek.com/critical-openemr-vulnerabilities-give-hackers-remote-access-health-records

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

觉得不错，就点个 “在看” 吧~

开源管理软件 OpenEMR 被曝多个漏洞，可被用于攻陷医疗基础设施相关推荐

开源的 DNS 转发软件 Dnsmasq 被曝7个漏洞，可劫持数百万台设备
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队以色列安全咨询公司 JSOF 披露了 Dnsmasq 中的被统称为"DNSpooq" 的7个漏洞,可被用于针对数百 ...
敏捷项目开源管理软件ScrumBasic（2）- 多项目支持
1.加入Project对象模型 public class Project{[Key][MaxLength(32)]public string ID { get; set; }public string ...
4个开源 TCP/IP 栈被曝33个漏洞，数百万智能和工业设备受影响
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 Forescout 公司的安全研究员披露了150多个厂商产品固件中当前所使用的四个开源 TCP/IP 库中的33个安全缺陷,被统称为 ...
开源的WebKit 浏览器引擎受多个漏洞影响，可导致 RCE 后果
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队摘要 WebKit 浏览器引擎受多个漏洞影响,其中有些漏洞可被用于执行远程代码. WebKit 是一款开源引擎,用于 Safari 和 ...
致远a8-v5-6.0协同管理软件_高危漏洞利用预警：近期利用“致远OA任意文件写入漏洞”的攻击较多...
概述腾讯御界高级威胁检测系统近期监测到"致远OA系统上的GetShell漏洞"在网上被频繁利用攻击政企客户. 对于存在漏洞的OA系统,攻击者无需任何权限,即可向服务器上传websh ...
推荐一个医疗器械管理软件能通过gsp并且有追溯功能的
医疗器械企业分为零售商.批发商还有生产企业和物流企业.想要找到合适的医疗器械信息化管理软件,必须了解清楚GSP.GMP和今年更新的最新标准.最新<药品管理法>已经取消gsp认证,但是不代表 ...
工业互联网巨头 GE Digital 修复SCADA 软件中的两个高危漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 GE Digital 发布补丁和缓解措施,解决了影响 Proficy CIMPLICITY HMI/SCADA 软件的两个高危漏洞.该软件用于全 ...
很多中小企业都在用的3款开源软件被曝多个漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士本周二,网络安全研究员发布影响三个开源项目 EspoCRM.Pimcore 和 Akaunting 的9个安全漏洞.多家中小型企业都在使用 ...
开源包管理器Homebrew被曝 RCE，影响 macOS 和 Linux 系统
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士 Homebrew Cask 官方仓库最近被曝一个严重的 RCE 漏洞,可导致攻击者在安装了 Homebrew 的用户机器上执行任意代码. ...

开源管理软件 OpenEMR 被曝多个漏洞，可被用于攻陷医疗基础设施

开源管理软件 OpenEMR 被曝多个漏洞，可被用于攻陷医疗基础设施相关推荐

最新文章

热门文章