OpenEMR’de keşfedilen kritik güvenlik açıkları, popüler açık kaynaklı elektronik sağlık kayıt sisteminin savunmasız bir sürümünü çalıştıran bir sunucuda kod yürütme elde etmek için zincirlenebilir.
Araştırmacı Dennis Brinkrolf tarafından keşfedilen, özel olarak bildirilen ve şimdi kamuya açık bir şekilde belgelenen güvenlik açıkları, Kasım 2022’nin sonunda OpenEMR bakımcıları tarafından derhal yamalandı.
OpenEMR Hakkında
OpenEMR, dünya çapında “200 milyondan fazla hastaya hizmet veren 100.000’den fazla tıbbi sağlayıcı tarafından kullanılan” bir elektronik sağlık kaydı (EHR) sistemi ve tıbbi uygulama yönetimi çözümüdür.
Açık kaynaklı OpenEMR projesi, kar amacı gütmeyen OpenEMR Vakfı tarafından desteklenmekte ve yüzlerce gönüllü ve profesyonel tarafından sürdürülmektedir. OpenEMR Vakfı’nın yol gösterici vizyonu, “Her sağlık hizmeti sunucusunun yüksek kaliteli sağlık hizmeti bilgi teknolojisine erişebildiği bir dünya”dır.
Diğerlerinin daha önce belirttiği gibi, OpenEMR’nin açık kaynak olması, onu olumsuz yasal sonuçlardan endişe duymadan yapabildikleri için güvenlik açıklarını araştırmak isteyen güvenlik araştırmacıları için harikadır. Aslında, açık kaynak çözümlerinin güvenliği bu tür çabalara dayanır ve bu tür çabalarla güçlendirilir.
Güvenlik açıkları hakkında
Brinkrolf, yazılımın kodunu SonarSource’un statik uygulama güvenlik testi (SAST) motoruyla analiz ederek üç güvenlik açığı buldu:
- Kimliği Doğrulanmış Bir Dosya Okuması
- Kimliği Doğrulanmış Bir Yerel Dosya Dahil Etme
- Kimliği Doğrulanmış Yansıtılmış XSS
İlki, kimliği doğrulanmamış bir saldırganın sertifikalar, parolalar, belirteçler ve yedekler dahil olmak üzere bir OpenEMR örneğinden rasgele dosyaları okumak için sahte bir MySQL sunucusundan yararlanmasına izin verebilir. Son ikisi, açık, savunmasız bir OpenEMR örneğini devralmak için kullanılabilir. SonarSource’un danışmanlığı, bu kusurların her biri hakkında daha ayrıntılı teknik ayrıntılar sunar.
İyi haber şu ki, OpenEMR bakımcıları bu güvenlik açıklarını bir haftadan kısa bir sürede düzelttiler ve yazılımın bir yama/yeni sürümünü (v7.0.0) yayınladılar. OpenEMR kullanan kuruluşlara (henüz yapmamışlarsa) en kısa zamanda bu sürüme yükseltmeleri önerilir.