CVE-2021-40375 - Controllo di accesso non corretto in OpenEyes 3.5.1

Descrizione

È stata identificata una vulnerabilità di controllo di accesso improprio in OpenEyes 3.5.1, sviluppato dalla Apperta Foundation.

Un utente con privilegi limitati poteva caricare il profilo di un paziente nel proprio browser e accedere a informazioni sensibili senza il livello di privilegio richiesto. Nonostante l'applicazione restituisse un messaggio 'Forbidden' sulla pagina web, la risposta del server restituiva comunque tutte le informazioni relative a un paziente. Queste informazioni potevano essere visualizzate tramite un proxy di intercettazione o semplicemente visualizzando il sorgente della pagina all'interno del browser.

Riproduzione

1. In qualità di utente con privilegi elevati, visualizzare il profilo di un paziente.
2. Copiare l'URL di questo profilo paziente.
3. Disconnettersi dalla sessione OpenEyes.
4. Accedere con un utente con privilegi limitati.
5. Incollare l'URL del profilo paziente e navigare a questo indirizzo.
6. Notare che OpenEyes restituisce un messaggio 'Forbidden'.
7. Fare clic con il tasto destro e selezionare 'Visualizza sorgente pagina'.
8. Notare che le informazioni sensibili del paziente vengono comunque restituite nella risposta e possono essere visualizzate nel sorgente della pagina.

Impatto

La panoramica del paziente contiene informazioni sensibili sul paziente. Ciò include PII come data di nascita, codice NHS e indirizzo. Inoltre, vengono divulgate ampie informazioni mediche come piani terapeutici, informazioni sulle prescrizioni, appuntamenti passati, problemi medici attuali o procedure precedenti.

Il fatto che queste informazioni vengano ottenute da un utente non autorizzato potrebbe comportare una violazione della privacy e compromettere la riservatezza delle informazioni dei pazienti memorizzate nell'applicazione OpenEyes.

Dimostrazione

https://user-images.githubusercontent.com/20635370/131623408-96ea48aa-68b8-4b71-8f00-8da9c9555ed5.mp4