飞利浦Vue PACS医学诊断系统多个高危漏洞通告

报告编号:B6-2021-071201

报告来源:360CERT

报告作者:360CERT

更新日期:2021-07-12

1、漏洞简述

2021年07月12日,360CERT监测发现飞利浦发布了Vue PACS诊疗平台的多个安全漏洞通告,漏洞编号为CVE-2021-33020等,漏洞等级:严重,漏洞评分:9.8。

飞利浦 Vue PACS 诊断平台属于公共医疗健康领域的基础设施,该平台中存在多个可远程攻击利用的高危漏洞,影响范围广泛,攻击者通过这些漏洞极易获得患者敏感信息以及影响医疗过程,极易造成严重危害。

对此,360CERT建议广大用户及时将飞利浦Vue PACS诊疗平台升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

2、风险等级

360CERT对该漏洞的评定结果如下

3、漏洞详情

CVE-2021-33020: 安全配置漏洞

CVE: CVE-2021-33020

组件: Vue PACS,Vue MyVue,Vue Speech,Vue Motion

漏洞类型: 安全配置

影响: 敏感信息泄漏;信息伪造

简述: 飞利浦Vue PACS诊疗平台仍在使用过期的安全密钥,这导致攻击者可以利用以往被泄漏的密钥针对现有的系统发起攻击

CVE-2021-27501: 安全配置漏洞

CVE: CVE-2021-27501

组件: Vue Motion,Vue PACS,Vue MyVue,Vue Speech

漏洞类型: 安全配置

影响: 代码执行;服务器接管

简述: 飞利浦Vue PACS诊疗平台的代码未遵循代码安全规则,导致攻击者可以利用这些代码逻辑错误对平台实施攻击

CVE-2021-33018: 安全配置漏洞

CVE: CVE-2021-33018

组件: Vue Speech,Vue Motion,Vue MyVue,Vue PACS

漏洞类型: 安全配置

影响: 敏感信息泄漏;信息伪造

简述: 飞利浦Vue PACS诊疗平台仍在使用存在安全隐患的加密算法,这导致攻击者可以利用针对加密算法的漏洞对平台发起攻击

CVE-2021-27497: 安全防护缺陷漏洞

CVE: CVE-2021-27497

组件: Vue Motion,Vue PACS,Vue Speech,Vue MyVue

漏洞类型: 安全防护缺陷

影响: 系统中缺乏基础安全防护能力;服务器接管

简述: 飞利浦Vue PACS诊疗平台在安全性上存在重大隐患,其未使用充分的安全措施来保障平台的正确运行。

CVE-2021-27493: 数据未校验漏洞

CVE: CVE-2021-27493

组件: Vue PACS,Vue Motion,Vue MyVue,Vue Speech

漏洞类型: 数据未校验

影响: 执行非预期功能

简述: 飞利浦Vue PACS诊疗平台在接受数据时,未针对数据进行严格的字段校验,导致不受信任、危险的数据在平台内部流转。攻击者通过构造特制的请求包可在平台上执行非预期的功能。

CVE-2021-33024: 身份信息明文传输漏洞

CVE: CVE-2021-33024

组件: Vue Speech,Vue MyVue,Vue Motion,Vue PACS

漏洞类型: 身份信息未加密

影响: 身份信息泄漏

简述: 飞利浦Vue PACS诊疗平台在传输以及存储身份凭证时,使用了不安全的方式(未加密)。导致攻击者通过嗅探、拦截网络流量可直接获得平台相关身份凭据,并借此登录平台实施进一步攻击

CVE-2021-33022: 明文传输漏洞

CVE: CVE-2021-33022

组件: Vue Motion,Vue PACS,Vue Speech,Vue MyVue

漏洞类型: 明文传输

影响: 敏感信息泄漏

简述: 飞利浦Vue PACS诊疗平台在通信过程中以明文形式传输敏感或安全关键数据,未经授权的攻击者可以在互联网中嗅探到该数据中的详细信息。

4、影响版本

5、修复建议

通用修补建议

飞利浦 Vue PACS诊疗平台 可通过联系飞利浦地区服务支持中心获得相关技术支持。

飞利浦地区服务支持中心联系地址

https://eservice.philips.com/Account/Login

临时修补建议

- 及时开启飞利浦 Vue平台的自动更新功能

- 在安装更新后,断开飞利浦 Vue平台和互联网的连接,保证只能通过内部网络进行登录访问

- 使用防火墙隔离飞利浦 Vue平台,使其与个人终端互通受限

6、时间线

2021-06-29飞利浦发布基础通告

2021-07-06飞利浦发布正式通告

2021-07-12360CERT发布通告

7、参考链接

1、 ICS Medical Advisory (ICSMA-21-187-01)

https://us-cert.cisa.gov/ics/advisories/icsma-21-187-01

2、 飞利浦安全通告

https://www.philips.com/a-w/security/security-advisories.html#security_advisories

8、特制报告下载链接

一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

飞利浦Vue PACS医学诊断系统多个高危漏洞通告

http://certdl.qihucdn.com/cert-public-file/buddha_alert/【360CERT】飞利浦Vue_PACS医学诊断系统多个高危漏洞通告.pdf

标签: