원격 의료 회사의 데이터 유출(발생할 수 있었지만 발생하지 않은)

불과 며칠 전 나는 내가 쓴 Habré에서는 러시아 온라인 의료 서비스 DOC+가 공개 도메인에 상세한 액세스 로그가 포함된 데이터베이스를 남겨 환자와 서비스 직원의 데이터를 얻을 수 있었던 방법에 대해 설명합니다. 그리고 환자에게 의사와의 온라인 상담을 제공하는 또 다른 러시아 서비스인 "Doctor Nearby"(www.drclinics.ru)와 관련된 새로운 사건이 있습니다.

Doctor is Near 직원의 적절성 덕분에 취약점이 신속하게(야간 통보 후 2시간!) 제거되었으며 개인 및 의료 데이터 유출이 없었을 가능성이 높다는 점을 즉시 작성하겠습니다. 3.5GB 크기의 데이터가 포함된 최소 하나의 json 파일이 "오픈 월드"에 있다는 것을 확실히 알고 있는 DOC+ 사건과 달리 공식 입장은 다음과 같습니다.소량의 데이터가 일시적으로 공개되었으므로 DOC+ 서비스 직원과 사용자에게 부정적인 결과를 초래할 수 없습니다.".

저와 함께 텔레그램 채널의 소유자로서 "정보 유출"라는 익명의 가입자가 웹사이트 www.drclinics.ru에 연락하여 잠재적인 취약점을 보고했습니다.

취약점의 본질은 URL을 알고 귀하의 계정으로 시스템에 있으면 다른 환자의 데이터를 볼 수 있다는 것입니다.

Doctor Nearby 시스템에 새 계정을 등록하려면 실제로 확인 SMS가 전송되는 휴대폰 번호만 필요하므로 누구도 개인 계정에 로그인하는 데 문제가 없습니다.

사용자는 개인 계정에 로그인한 후 브라우저 주소 표시줄의 URL을 변경하여 환자의 개인 데이터와 의료 진단이 포함된 보고서를 즉시 볼 수 있었습니다.

중요한 문제는 서비스가 보고서에 연속적인 번호 매기기를 사용하고 이미 다음 번호로부터 URL을 형성한다는 것입니다.

https://[адрес сайта]/…/…/40261/…

따라서 최소 허용 개수(7911)와 최대 허용 개수(42926 - 취약점 당시)만 설정하면 시스템 내 총 신고 건수(35015)를 계산하고 (악의적인 의도가 있는 경우) 다운로드까지 가능했다. 간단한 스크립트로 모두 가능합니다.

볼 수 있는 데이터에는 의사와 환자의 성명, 의사와 환자의 생년월일, 의사와 환자의 전화번호, 의사와 환자의 성별, 의사와 환자의 이메일 주소, 의사의 전문분야 등이 있습니다. , 상담 날짜, 상담 비용 및 경우에 따라 진단까지(보고서에 대한 설명).

이 취약점은 본질적으로 이전에 발생한 취약점과 매우 유사합니다. 2017년 XNUMX월에 발견 소액 금융 조직 "Zaimograd"의 서버에서. 그런 다음 검색을 통해 조직 고객의 전체 여권 데이터가 포함된 36763개의 계약을 얻을 수 있었습니다.

처음부터 언급했듯이 Doctor Nearby 직원들은 진정한 전문성을 보여 주었고 23:00(모스크바 시간)에 취약점에 대해 알렸음에도 불구하고 내 개인 계정에 대한 액세스가 즉시 모든 사람에게 폐쇄되었으며 1: 00(모스크바 시간) 이 취약점이 수정되었습니다.

같은 DOC+(New Medicine LLC)의 홍보 부서를 다시 한번 걷어차버릴 수밖에 없습니다. "라고 선언소량의 데이터가 일시적으로 공개되었습니다.", 그들은 우리가 처분할 수 있는 "객관적인 통제" 데이터, 즉 Shodan 검색 엔진이 있다는 사실을 간과합니다. 해당 기사의 댓글에 정확하게 언급된 바와 같이 Shodan에 따르면 DOC+ IP 주소에서 개방형 ClickHouse 서버가 처음 수정된 날짜: 15.02.2019년 03월 08일 00:17.03.2019:09, 마지막 수정 날짜: 52/ 00년 40월 XNUMX:XNUMX:XNUMX. 데이터베이스 크기는 약 XNUMXGB입니다.

총 15개의 고정이 있었습니다:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

성명서에 따르면 일시적으로 한달 조금 넘었지만 소량의 데이터 이는 약 40GB입니다. 글쎄요...

하지만 "The Doctor Is Nearby"로 돌아가 보겠습니다.

현재 내 직업적 편집증은 단 하나의 사소한 문제로 인해 괴로워하고 있습니다. 서버 응답을 통해 시스템의 보고서 수를 확인할 수 있습니다. 액세스할 수 없지만 보고서 자체는 사용할 수 있는 URL에서 보고서를 가져오려고 하면 서버는 다음을 반환합니다. 접근이 거부되었습니다., 존재하지 않는 보고서를 가져오려고 하면 반환됩니다. NOT_FOUND. 시간 경과에 따른(주 XNUMX회, 월 XNUMX회 등) 시스템의 보고서 수 증가를 모니터링하여 서비스의 작업량과 제공되는 서비스 양을 평가할 수 있습니다. 물론 이는 환자와 의사의 개인정보를 침해하는 것은 아니지만, 회사의 영업비밀 침해에 해당될 수 있습니다.

출처 : habr.com