飞利浦电子病历系统被曝出高危漏洞，可泄露患者敏感数据

据the hacker news网站报道，美国网络安全和基础设施安全局 (CISA) 发出警告称，飞利浦的电子病例系统Tasy EMR存在严重漏洞，攻击者可远程利用这些漏洞从患者数据库中提取敏感的个人数据。

[[434331]]

受影响的主要是Tasy EMR HTML5 3.06.1803及之前的版本，其中的两个SQL注入缺陷——CVE-2021-39375和CVE-2021-39376可让攻击者修改SQL数据库命令，从而进行未经授权的访问并泄露敏感信息，甚至执行任意的系统命令：

• CVE-2021-39375：允许通过WAdvancedFilter/getDimensionItemsByCode FilterValue 参数进行 SQL 注入
• CVE-2021-39376：允许通过 CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST 或 CD_USUARIO_CONVENIO 参数进行 SQL 注入

这两个漏洞的严重性评分高达8.8分(满分10分)，但是，利用这些漏洞需要攻击者已经拥有访问系统的凭证。

飞利浦 Tasy EMR主要用于拉美地区的950多家医疗机构，其设计为集成的医疗信息学解决方案，可实现临床、组织和行政流程的集中管理，包括整合分析、计费以及医疗处方的库存和供应管理。

飞利浦在一份咨询报告中指出，目前已经获取了相关的问题信息，但尚未收到有关利用这些漏洞或相关临床使用事件的报告，认为漏洞不太可能影响临床使用，也不会对患者造成伤害。

但为了以防万一，专家还是建议，所有使用该系统的医疗机构应尽快更新到最新的系统版本。

参考来源：https://thehackernews.com/2021/11/critical-flaws-in-philips-tasy-emr.html