Global Preloader
Noticia Internacional
(29/Nov/2017) Falla en OpenEMR deja a millones de registros médicos expuestos

Falla en OpenEMR deja a millones de registros médicos expuestos

Una vulnerabilidad en el registro médico electrónico gratuito de código abierto y en el software de gestión de la práctica médica OpenEMR puede aprovecharse para robar los registros médicos de los pacientes y otra información de identificación personal, advierte Risk Based Security.

OpenEMR se usa en todo el mundo. Las estimaciones de 2012 indican que el número de instalaciones en los EE. UU. (Oficinas de médicos y otras pequeñas instalaciones de salud) supera las 5.000, y las cifras globales superan las 15.000. Entre los usuarios se encuentran la Federación Internacional de Planificación de la Familia y el Cuerpo de Paz.

El error fue descubierto por investigadores de la compañía mientras revisaban problemas de seguridad descubiertos previamente en OpenEMR, y comunicaron responsablemente a los desarrolladores. La solución se publicó a principios de noviembre, en el sexto parche para OpenEMR v5.0.0. El componente vulnerable es el script de instalación setup.php, que permite a los usuarios instalar fácilmente la aplicación a través de un navegador web.

Isaac Sears, quien lanzó detalles y explotó código para otro error SQL que involucraba el script setup.php a finales de octubre, descubrió que podría permitir la copia de bases de datos remotas no autenticadas porque expone la funcionalidad para clonar un sitio OpenEMR existente a un servidor MySQL controlado por atacante.

"El impacto del problema informado por Isaac Sears es un poco diferente, ya que 'solo' permite clonar la base de datos a un sitio remoto, que incluye, por ejemplo, hash de contraseñas. Sin embargo, incluso después de aplicar el parche, todavía era posible abusar de setup.php para instanciar un nuevo sitio, con una configuración separada, conectando a una base de datos remota de MySQL", dijo Sven Krewitt, investigador de seguridad basado en riesgos, al sitio Help Net Security.

"Tener acceso con privilegios de administrador a una instancia de OpenEMR se considera crítico, pero las bases de datos del sitio están separadas entre sí. Sin embargo, el administrador puede editar archivos PHP locales a través del menú 'Administration/Files'. Esto permite insertar código PHP arbitrario, que se ejecuta en el contexto del servidor web. Permitiendo obtener el control total de la instalación y por ejemplo, divulgar todos los datos almacenados del paciente en la base de datos o el sistema de archivos". "Los detalles que informamos al proveedor resultaron en OpenEMR 5.0.0 Patch 6, que asegura que todas las funcionalidades criticas ahora están restringidas de manera predeterminada", nos dijo Krewitt.

Además de esto, el equipo de desarrollo de OpenEMR agregó una advertencia de seguridad en la wiki de OpenEMR, que aconseja a los usuarios eliminar la secuencia de comandos setup.php después de la instalación/actualización, ya que no es necesaria para el uso general de OpenEMR. La explotación de esta última falla depende de los permisos de directorio que permiten la configuración de un nuevo sitio, pero el escaneo de los investigadores de RBS de las instalaciones OpenEMR accesibles a Internet reveló que más de la mitad tenía permisos inseguros que permitían el ataque.