CVE-2024-23747

Moderna Sistemas ModernaNet 병원 관리 시스템 2024는 안전하지 않은 직접 객체 참조(IDOR) 취약점에 영향을 받습니다.

PoC

이 취약점은 /Modernanet/LAUDO/LAU0000100/Laudo?id= URL을 통한 사용자 데이터 접근 처리에 존재합니다. 이 id 매개변수를 조작함으로써 공격자는 민감한 의료 정보에 접근할 수 있습니다.

http://IP/Modernanet/LAUDO/LAU0000100/Laudo?id=NUMBER

결과를 보기 위해 로그인할 필요가 없습니다.

Bonus

이 IDOR을 통해 얻을 수 있는 취약한 자격 증명으로 인해 이 병원의 사용자 계정에 접근할 수 있었습니다.

Reference

https://modernasistemas.com.br/sitems/