飞利浦Vue PACS医学诊断系统多个高危漏洞通告

报告编号：B6-2021-071201

报告来源：360CERT

报告作者：360CERT

更新日期：2021-07-12

2021年07月12日，360CERT监测发现发布了的多个安全漏洞通告，漏洞编号为，漏洞等级：，漏洞评分：。

飞利浦 Vue PACS 诊断平台属于公共医疗健康领域的基础设施，该平台中存在多个可远程攻击利用的高危漏洞，影响范围广泛，攻击者通过这些漏洞极易获得患者敏感信息以及影响医疗过程，极易造成严重危害。

对此，360CERT建议广大用户及时将升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

360CERT对该漏洞的评定结果如下

CVE: CVE-2021-33020

组件: Vue PACS,Vue MyVue,Vue Speech,Vue Motion

漏洞类型: 安全配置

影响: 敏感信息泄漏；信息伪造

简述: 飞利浦Vue PACS诊疗平台仍在使用过期的安全密钥，这导致攻击者可以利用以往被泄漏的密钥针对现有的系统发起攻击

CVE: CVE-2021-27501

组件: Vue Motion,Vue PACS,Vue MyVue,Vue Speech

漏洞类型: 安全配置

影响: 代码执行；服务器接管

简述: 飞利浦Vue PACS诊疗平台的代码未遵循代码安全规则，导致攻击者可以利用这些代码逻辑错误对平台实施攻击

CVE: CVE-2021-33018

组件: Vue Speech,Vue Motion,Vue MyVue,Vue PACS

漏洞类型: 安全配置

影响: 敏感信息泄漏；信息伪造

简述: 飞利浦Vue PACS诊疗平台仍在使用存在安全隐患的加密算法，这导致攻击者可以利用针对加密算法的漏洞对平台发起攻击

CVE: CVE-2021-27497

组件: Vue Motion,Vue PACS,Vue Speech,Vue MyVue

漏洞类型: 安全防护缺陷

影响: 系统中缺乏基础安全防护能力；服务器接管

简述: 飞利浦Vue PACS诊疗平台在安全性上存在重大隐患，其未使用充分的安全措施来保障平台的正确运行。

CVE: CVE-2021-27493

组件: Vue PACS,Vue Motion,Vue MyVue,Vue Speech

漏洞类型: 数据未校验

影响: 执行非预期功能

简述: 飞利浦Vue PACS诊疗平台在接受数据时，未针对数据进行严格的字段校验，导致不受信任、危险的数据在平台内部流转。攻击者通过构造特制的请求包可在平台上执行非预期的功能。

CVE: CVE-2021-33024

组件: Vue Speech,Vue MyVue,Vue Motion,Vue PACS

漏洞类型: 身份信息未加密

影响: 身份信息泄漏

简述: 飞利浦Vue PACS诊疗平台在传输以及存储身份凭证时，使用了不安全的方式（未加密）。导致攻击者通过嗅探、拦截网络流量可直接获得平台相关身份凭据，并借此登录平台实施进一步攻击

CVE: CVE-2021-33022

组件: Vue Motion,Vue PACS,Vue Speech,Vue MyVue

漏洞类型: 明文传输

影响: 敏感信息泄漏

简述: 飞利浦Vue PACS诊疗平台在通信过程中以明文形式传输敏感或安全关键数据，未经授权的攻击者可以在互联网中嗅探到该数据中的详细信息。

飞利浦 Vue PACS诊疗平台 可通过联系飞利浦地区服务支持中心获得相关技术支持。

- 及时开启飞利浦 Vue平台的自动更新功能

- 在安装更新后，断开飞利浦 Vue平台和互联网的连接，保证只能通过内部网络进行登录访问

- 使用防火墙隔离飞利浦 Vue平台，使其与个人终端互通受限

​若想了解更多产品信息或有相关业务需求，可移步至http://360.net。

2021-07-06 飞利浦发布正式通告

2021-07-12 360CERT发布通告

1、 ICS Medical Advisory (ICSMA-21-187-01)

2、 飞利浦安全通告

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。