Apperta Foundation によって開発された OpenEyes 3.5.1 に、不適切なアクセス制御の脆弱性が確認されました。
低権限ユーザーは、必要な権限レベルなしに、ブラウザで患者のプロフィールを読み込み、機密情報にアクセスすることができました。アプリケーションはウェブページ上で「Forbidden」メッセージを返しましたが、サーバーのレスポンスには依然として患者に関するすべての情報が含まれていました。この情報は、傍受プロキシを使用するか、ブラウザ内でページソースを表示するだけで確認できました。
患者概要には、患者に関する機密情報が含まれています。これには、生年月日、NHS 番号、住所などの個人識別情報 (PII) が含まれます。さらに、投薬計画、処方情報、過去の予約、現在の医学的問題、過去の処置などの広範な医療情報も開示されます。
この情報が認可されていないユーザーによって取得されると、プライバシーの侵害につながり、OpenEyes アプリケーション内に保存されている患者情報の機密性に影響を及ぼす可能性があります。
