La falla XSS en la herramienta de imágenes de medios predominantes expone un tesoro de datos de pacientes

Vitrea View de Canon Medical es una herramienta ampliamente utilizada para compartir de forma segura imágenes médicas entre radiólogos, médicos y otros proveedores de atención médica en un equipo de atención al paciente. Dos vulnerabilidades descubiertas recientemente (seguidas colectivamente como CVE-2022-37461) podrían permitir que los actores de amenazas accedan a mucho más que rayos X. 

Un defecto es un no autenticado secuencias de comandos entre sitios reflejadas (XSS) en un mensaje de error, según un nuevo informe de SpiderLabs de Trustwave. Jordan Hedges, el investigador de amenazas detrás de los hallazgos, dijo que el segundo es un XSS reflejado separado en el panel de administración de Vitrea View. 

“Si se explotan, estas vulnerabilidades podrían usarse para recuperar Información del paciente, imágenes almacenadas o escaneos, y modificar la información, según los privilegios utilizados durante la sesión”, escribió Hedges en un análisis del jueves. "También se podría acceder a información confidencial y credenciales para varios servicios integrados con Vitrea View".

Vitrea View cumple con los estándares internacionales de imágenes digitales y comunicaciones en medicina (DICOM), señala el informe, y por lo tanto se integra con muchas otras cosas.

“Vitrea View se utiliza para centralizar potencialmente múltiples fuentes y soluciones para imágenes médicas, incluidos rayos X, resonancias magnéticas, escaneos CRT, imágenes 3D, etc.”, Karl Sigler, gerente senior de investigación de seguridad en Trustwave SpiderLabs, le dice a Dark Reading. 

Agregó: "Las imágenes también están asociadas con los registros de un paciente, por lo que estas vulnerabilidades significan que podría haber una gran cantidad de información que podría filtrarse (dañar la confidencialidad de un paciente) o modificarse (intercambiar las imágenes médicas de un paciente con otro, eliminar registros o modificar potencialmente la información del paciente directamente)".

Las vulnerabilidades de imágenes médicas XSS se enviaron a Canon Medial y se lanzó un parche. Hedges recomienda que las organizaciones que ejecutan la herramienta la apliquen de inmediato.