Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record
L’Iran lancia un attacco di spear-phishing contro obiettivi israeliani
Windows 10: ancora un anno di aggiornamenti (quasi) gratis
Attacchi silenziosi ai server Exchange: keylogger in JavaScript rubano credenziali dalle pagine di login

Studi medici a rischio negli USA: raffica di bug nel software di gestione

Ago 08, 2018 Marco Schiaffino Gestione dati, News, Privacy, RSS, Vulnerabilità 0

Si chiama OpenEMR ed è uno dei sistemi open source più popolari tra i professionisti del settore. I ricercatori hanno trovato 23 falle di sicurezza.

Il rapporto tra medicina e informatica si conferma come uno dei più problematici, almeno a livello di sicurezza. L’ultimo episodio in ordine di tempo non riguarda un caso di fuga di informazioni (come quella avvenuta recentemente a opera del sito iCliniq) ma un allarme collegato alla fragilità di una delle piattaforme software (e gratuite) più usate dai medici professionisti negli USA.

Si tratta di OpenEMR, che i suoi sviluppatori descrivono come “la più popolare soluzione open source per la gestione dell’attività e la memorizzazione dei registri medici”.

Il software, oltre che conservare la documentazione dei pazienti, offre numerose altre funzionalità tra cui un sistema di prescrizione elettronico che invia le richieste direttamente alle farmacie. Qualcosa che a un cyber-criminale può fare parecchio gola.

Stando a quanto riportano i ricercatori di Project Insecurity, per violare i sistemi gestiti da OpenEMR i pirati informatici non avrebbero dovuto nemmeno sforzarsi più di tanto.

Il software, infatti, aveva la bellezza di 26 vulnerabilità che i ricercatori hanno individuato (come spiegano nel loro report) senza nemmeno dover utilizzare tool specializzati per il debugging. Tutte le falle sono state infatti individuate attraverso un esame manuale del codice.

E non stiamo parlando di sciocchezze: oltre a nove bug che consentivano SQL Injection, dalle parti di Project Insecurity hanno trovato anche quattro vulnerabilità che, se sfruttate, avrebbero permesso l’avvio di esecuzione di codice in remoto.

Per quanto riguarda la privacy, le cose non andavano molto meglio. La falla più clamorosa era rappresentata dalla possibilità di aggirare il sistema di autenticazione per l’accesso al portale riservato ai pazienti, che un eventuale ficcanaso avrebbe potuto “saltare” modificando l’URL di destinazione.

I ricercatori però hanno individuato anche bug che consentivano di prelevare informazioni senza autenticazione e di caricare qualsiasi tipo di file con le stesse modalità.

La pubblicazione del report è stata “tarata” con un ritardo di più di 15 giorni rispetto al rilascio dell’aggiornamento che corregge le vulnerabilità per garantire che tutti gli utenti avessero il tempo di procedere all’update. Incrociamo le dita.

Condividi l'articolo