Kritische Fehler in Philips TASY EMR könnten Patientendaten preisgeben

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) warnt vor kritischen Sicherheitslücken Philips Tasy System zu Händen elektronische Patientenakten (EMR) die von entfernten Bedrohungsakteuren ausgenutzt werden könnten, um sensible personenbezogene Statistik aus Patientendatenbanken zu extrahieren.

“Eine erfolgreiche Nutzbarmachung dieser Schwachstellen könnte dazu zur Folge haben, dass vertrauliche Statistik von Patienten offengelegt oder aus welcher elektronischer Karteikasten von Tasy extrahiert werden, unbefugten Zugriff gewähren oder eine Denial-of-Tafelgeschirr-Prämisse verursachen”, heißt es in einem medizinischen Bulletin vom 4. November.

Philips Tasy EMR wird von weiterführend 950 Gesundheitseinrichtungen hauptsächlich in Lateinamerika verwendet und ist denn integrierte Gesundheitsinformatiklösung konzipiert, die eine zentrale Verwaltung klinischer, organisatorischer und administrativer Prozesse ermöglicht, einschließlich Schlusswort, Faktur sowie Bestands- und Versorgungsmanagement zu Händen medizinische Verschreibungen.

Die SQL-Injection-Fehler – CVE-2021-39375 und CVE-2021-39376 – sich manifestieren in Tasy EMR HTML5 3.06.1803 und frühere Versionen und könnten es einem Angreifer im Wesentlichen geben, SQL-Datenbankbefehle zu ändern, welches zu unbefugtem Zugriff, Offenlegung vertraulicher Informationen und sogar die Version beliebiger Systembefehle. Beiderartig Sicherheitsprobleme wurden im Schweregrad mit 8,8 von 10 bewertet:

• CVE-2021-39375(CVSS-Score: 8,8): Dasjenige betroffene Produkt lässt SQL-Injection weiterführend den Variable WAdvancedFilter/getDimensionItemsByCode FilterValue zu.
• CVE-2021-39376 (CVSS-Score: 8,8): Dasjenige betroffene Produkt ermöglicht SQL-Injection weiterführend den Variable CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST oder CD_USUARIO_CONVENIO.

Es ist jedoch erwähnenswert, dass die Nutzung dieser Schwachstellen erfordert, dass welcher Bedrohungsakteur schon im Vermögen welcher Anmeldeinformationen ist, die den Zugriff uff dasjenige betroffene System geben.

“Zu diesem Zeitpunkt hat Philips keine Berichte weiterführend die Nutzbarmachung dieser Schwachstellen oder Vorfälle aus dem klinischen Kapitaleinsatz erhalten, die wir mit diesem Problem in Verpflichtung mitbringen konnten”, stellte dasjenige niederländische Unternehmen in einem Gutachten verkrampft. “Die Schlusswort von Philips hat gezeigt, dass es unwahrscheinlich ist, dass sie Sicherheitsanfälligkeit Auswirkungen uff den klinischen Kapitaleinsatz hat. Die Schlusswort von Philips zeigt zweite Geige, dass aufgrund dieses Problems keine Gefahr zu Händen den Patienten zu erwarten ist.”

Allen Gesundheitsdienstleistern, die eine anfällige Version des EMR-Systems verwenden, wird empfohlen, so schnell wie möglich uff Version 3.06.1804 oder höher zu updaten, um eine potenzielle Nutzbarmachung in welcher realen Welt zu verhindern.