La faille XSS dans l'outil d'imagerie multimédia répandu expose une mine de données sur les patients

Vitrea View de Canon Medical est un outil largement utilisé pour partager en toute sécurité des images médicales entre radiologues, médecins et autres prestataires de soins de santé au sein d'une équipe de soins aux patients. Deux vulnérabilités nouvellement découvertes (collectivement suivies sous le nom de CVE-2022-37461) pourraient permettre aux acteurs de la menace d'accéder à bien plus que les rayons X. 

Un défaut est un non authentifié script intersite reflété (XSS) dans un message d'erreur, selon un nouveau rapport de SpiderLabs de Trustwave. Jordan Hedges, le chercheur sur les menaces à l'origine des découvertes, a déclaré que le second est un XSS réfléchi distinct dans le panneau d'administration de Vitrea View. 

"Si elles sont exploitées, ces vulnérabilités pourraient être utilisées pour récupérer information du patient, images stockées ou scans, et modifier les informations, en fonction des privilèges utilisés pendant la session », a écrit Hedges dans un Analyse du jeudi. "Les informations sensibles et les informations d'identification de divers services intégrés à Vitrea View sont également accessibles."

Le Vitrea View est conforme aux normes internationales DICOM (Digital Imaging and Communications in Medicine), note le rapport, et s'intègre donc à de nombreux autres éléments.

« Vitrea View est utilisé pour centraliser potentiellement plusieurs sources et solutions pour l'imagerie médicale, y compris les rayons X, les IRM, les scans CRT, l'imagerie 3D, etc. », explique Karl Sigler, responsable principal de la recherche en sécurité chez Trustwave SpiderLabs, à Dark Reading. 

Il a ajouté: «Les images sont également associées aux dossiers d'un patient, de sorte que ces vulnérabilités signifient qu'il pourrait y avoir une mine d'informations qui pourraient être exfiltrées (porter atteinte à la confidentialité d'un patient) ou modifiées (échanger les images médicales d'un patient avec une autre, supprimer des dossiers , ou potentiellement modifier directement les informations du patient).

Les vulnérabilités d'imagerie médicale XSS ont été soumises à Canon Medial et un correctif a été publié. Hedges recommande aux organisations qui utilisent l'outil de l'appliquer immédiatement.