江苏
关键词
漏洞
近日，应用安全公司 Aisle 在开源电子病历平台 OpenEMR 中发现了数十个漏洞，其中包括一些可被利用来窃取敏感患者信息的严重问题。
OpenEMR 在全球范围内被超 10 万名医疗服务提供者使用，存储着超 2 亿患者的数据。Aisle 对其进行了分析，该公司的自动分析工具识别出 39 个问题，其中 38 个已被分配 CVE 标识符。
此次研究是 OpenEMR 开发者与 Aisle 合作的一部分，所有漏洞均已修复。
大多数安全漏洞是由于授权缺失或授权错误导致的。其余漏洞包括跨站脚本（XSS）、SQL 注入、路径遍历和会话过期等问题。
Aisle 表示：“在最严重的情况下，SQL 注入漏洞与有限的数据库权限相结合，可能导致数据库完全被攻破、大规模泄露患者健康信息（PHI），以及在服务器上实现远程代码执行。”
该安全公司特别指出了三个可被利用来访问或更改患者数据的漏洞。其中两个是严重的 SQL 注入漏洞，编号分别为 CVE - 2026 - 24908 和 CVE - 2026 - 23627，任何经过身份验证的攻击者利用这两个漏洞都可能入侵数据库、泄露数据、窃取凭证并执行任意代码。
另一个导致患者数据暴露的漏洞是 CVE - 2026 - 24487，这是一个绕过授权的问题。
Aisle 在一篇博客文章中公布了 OpenEMR 的完整 CVE 列表。
研究人员经常发现暴露患者信息的 OpenEMR 严重漏洞。
CVEdetails 网站记录了过去十年间发现的 200 多个漏洞。然而，似乎没有公开报告证实 OpenEMR 漏洞在实际中被利用。
这可能是因为许多 OpenEMR 部署都设置了防火墙或保持更新，而且医疗保健组织更常受到的攻击是通过更广泛的途径，而非特定应用程序的漏洞。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
