OpenEMR の過去のバージョンで発見された脆弱性により、攻撃者が機密データにアクセスし、システム全体を危険にさらす可能性がありました。 悪用された場合、認証されていない攻撃者が「7.0.0 より前のバージョンの OpenEMR を実行しているサーバーでコードを実行する脆弱性」を連鎖させる可能性があります。
ソフトウェア開発会社であるソナーによって発見された欠陥は、責任を持って OpenEMR に開示され、問題を修正するためのソフトウェア アップデートが提供されました。 プラットフォームの新しいバージョンには完全にパッチが適用されています。 Sonar は、OpenEMR の更新後にレポートを発行しました。
医療部門のパッチ適用プロセスが遅く、進行中の脅威状況を考慮して、保健社会福祉省のサイバーセキュリティ調整センターは、IT およびセキュリティのリーダーに、これらのギャップを完全にパッチするために最新の EMR バージョンにアップグレードしたことを確認するよう促しています。
OpenEMR は、100,000 のグローバル プロバイダーによって毎月推定 5,000 のダウンロードがあり、2 億人を超える患者にサービスを提供している、人気のある電子カルテ システムです。 OpenEMR は、ボランティアとサポートの専門家のコミュニティによって維持されており、PeaceCorps、IPPF、ケニアのシアヤ地区病院で特に使用されています。
Sonar レポートには、認証されていないファイルの読み取り、認証されたローカル ファイルの包含、および認証された反映された XSS の詳細が示されます。
「不正な MySQL サーバー」が OpenEMR デバイスを乗っ取る方法
レポートによると、パッチがなければ、「不正な MySQL サーバーが OpenEMR インスタンスから任意のファイルを読み取ることができます」。 さらに、インストールが成功した後、インストーラーは自分自身を削除できず、セットアップが部分に分割されているため、認証されていないユーザーがユーザー制御のパラメーター状態を介していくつかのアクションを実行できます。
その結果、認証されていない攻撃者は、MySQL ステートメント LOAD DATA を有効にしてファイルの内容をデータベース テーブルにロードすることにより、自身のサーバーでデータベース クエリを実行できます。
「修飾子 LOCAL が指定されている場合、ファイルはサーバーではなくクライアントから読み取られます」と Sonar の研究者は書いています。
攻撃者が制御する MySQL 構成により、任意のファイル読み取りの脆弱性が侵害される可能性があります。 また、他の 2 つの欠陥と組み合わせると、権限のない攻撃者がデバイスを乗っ取り、リモートでコードを実行できるようになります。
HC3 アラートは、これらの欠陥のそれぞれが「サイバー犯罪者がランサムウェア攻撃とデータ侵害を開始する機会を表していることを示しています。これらは両方とも、他の種類の攻撃の中でも、医療部門に対する永続的な脅威です。」
プロバイダーは OpenEMR を完全に再インストールできますが、アラートは、攻撃者がインストーラー クラスのプロパティを介してセットアップ手順中に構成を指定し、OpenEMR インスタンスを乗っ取ることができることを警告します。
11 月の更新で対処された OpenENR の脆弱性
前述のとおり、OpenEMR のメンテナーはこれらの重大な脆弱性すべてに対処し、2022 年 11 月のプラットフォーム バージョン 7.0.0 への更新でアプリケーションをさらに強化しました。
EMR には一連の CSRF チェックとセッションが含まれるようになり、任意のファイル読み取りの脆弱性にパッチが適用され、インストール プロセスがさらに制限されます。 現在、認証されていない攻撃者でさえ、インストール手順を正しい順序で実行する必要があります。 また、「インストールされた OpenEMR インスタンスに構成ファイルが既に存在する場合、セットアップ プロセスは最初のステップで失敗します。」
OpenEMR はまた、PHP 機能を強化して重要な文字をエンコードし、攻撃者がコンテキストを逃れる能力をブロックし、XSS の脆弱性を防ぎます。 この更新では、ユーザー制御のパラメーターもサニタイズされ、パス トラバーサルを防ぐために英数字のみが許可されるようになりました。
OpenEMR は、潜在的なエクスプロイトのリスクを軽減するために、このプロセスを強化する予定です。
OpenEMR のメンテナーは、潜在的な脆弱性に迅速に対応することで有名です。 2018 年の注目すべき例の 1 つは、研究者がプラットフォームに 30 近くの重大な脆弱性を発見し、何百万もの患者記録が攻撃に対して脆弱になったことです。 これは、その年に発見された 2 回目のセキュリティ欠陥でした。
これらのバグには、攻撃者が患者ポータル認証をバイパスして登録ページに移動したり、URL を変更したりできる欠陥が含まれていました。 標的のデータベースからのデータを表示するために使用できる SQL インジェクションのバグも多数発見されました。 一連の開示には、他のリモート コード実行の脆弱性が含まれていました。
最新の脆弱性開示と同様に、OpenEMR はこれらのリスクを排除するアップデートを迅速に提供しました。