XSS-virhe yleisessä median kuvantamistyökalussa paljastaa joukon potilastietoja

Canon Medicalin Vitrea View on laajalti käytetty työkalu lääketieteellisten kuvien turvalliseen jakamiseen radiologien, lääkäreiden ja muiden potilaiden hoitotiimin terveydenhuollon tarjoajien välillä. Kaksi äskettäin löydettyä haavoittuvuutta (jäljempänä yhdessä nimellä CVE-2022-37461) voivat antaa uhkatekijöille pääsyn paljon enemmän kuin röntgensäteisiin. 

Yksi vika on todentamaton heijastunut sivustojen välinen komentosarja (XSS) virheilmoituksessa Trustwaven SpiderLabsin uuden raportin mukaan. Löytöjen takana oleva uhkatutkija Jordan Hedges sanoi, että toinen on erillinen Reflected XSS Vitrea View -hallintapaneelissa. 

"Jos näitä haavoittuvuuksia käytetään hyväksi, niitä voitaisiin käyttää niiden palauttamiseen potilastiedot, tallennettuja kuvia tai skannauksia ja muokata tietoja istunnon aikana käytettyjen oikeuksien mukaan", Hedges kirjoitti Torstain analyysi. "Myös Vitrea Viewiin integroitujen palvelujen arkaluontoiset tiedot ja tunnistetiedot olivat käytettävissä."

Vitrea View täyttää kansainväliset Digital Imaging and Communications in Medicine (DICOM) -standardit, raportissa todetaan ja integroituu siten moniin muihin asioihin.

"Vitrea View -näkymää käytetään mahdollisesti useiden lääketieteellisen kuvantamisen lähteiden ja ratkaisujen keskittämiseen, mukaan lukien röntgensäteet, magneettikuvaukset, CRT-skannaukset, 3D-kuvaukset jne.", Trustwave SpiderLabsin vanhempi tietoturvatutkimuspäällikkö Karl Sigler kertoo Dark Readingille. 

Hän lisäsi: "Kuvat yhdistetään myös potilaan asiakirjoihin, joten nämä haavoittuvuudet tarkoittavat, että saattaa olla runsaasti tietoa, joka saatetaan suodattaa (vaurioittaa potilaan luottamuksellisuutta) tai muokata (potilaan lääketieteellisten kuvien vaihtaminen toisiin, tietueiden poistaminen). tai mahdollisesti muuttaa potilastietoja suoraan).

XSS-lääketieteellisen kuvantamisen haavoittuvuudet lähetettiin Canon Medialille, ja korjaustiedosto on julkaistu. Hedges suosittelee työkalua käyttäviä organisaatioita ottamaan sen käyttöön välittömästi.