dckento/cve-2021-40375OpenEyes 3.5.1의 깨진 접근 제어
Apperta 재단이 개발한 OpenEyes 3.5.1에서 부적절한 접근 통제 취약점이 확인되었습니다.
낮은 권한의 사용자가 브라우저에서 환자 프로필을 로드하고, 요구되는 권한 수준 없이 민감한 정보에 접근할 수 있습니다. 애플리케이션이 웹페이지에 'Forbidden' 메시지를 반환함에도 불구하고, 서버 응답에는 여전히 환자에 대한 모든 정보가 포함되어 반환되었습니다. 이 정보는 중간자 프록시(intercepting proxy)에서 확인하거나, 브라우저 내에서 페이지 소스를 보는 것만으로도 확인할 수 있었습니다.
환자 개요에는 환자에 대한 민감한 정보가 포함되어 있습니다. 여기에는 생년월일, NHS 번호, 주소와 같은 개인 식별 정보(PII)가 포함됩니다. 또한, 투약 계획, 처방 정보, 과거 진료 예약, 현재 의학적 문제 또는 과거 시술과 같은 광범위한 의료 정보도 공개됩니다.
이 정보를 권한이 없는 사용자가 획득할 경우 개인 정보 침해가 발생할 수 있으며, OpenEyes 애플리케이션에 저장된 환자 정보의 기밀성에 영향을 미칠 수 있습니다.
