暴露在公网的PACS服务器泄露了超过4亿张医学放射图像

iso60001  26天前

22.jpg

Greenbone Networks漏洞分析公司的研究人员发现,公网上存在600台不安全的PACS服务器,导致4亿张医疗放射图像被泄露。这项数据泄露研究从2019年7月中旬起,2019年9月初才算完结。

这些存在缺陷的医学图像存储系统分布在52个国家,研究人员发现它们共受到10000个漏洞的影响,其中超过500个漏洞的严重性评分为最高(CVSS 10/10)。

Greenbone Networks的研究人员分析了全球2300个暴露在公网的图片存储和通信系统(PACS)。

PACS系统主要应用于医疗保健行业,负责存储医学放射检查过程生成的图像,以方便提供给医务人员进行分析诊断。这些系统使用DICOM(医学数字成像和通信)协议来管理和传输医学图像。

研究人员深入研究了其中590台PACS服务器,涉及大约2430万份病患记录。

Greenbone上的报告称:“我们分析了全世界2300个文件系统(PACS),其中590个已确定可直接访问,目前能获得来自52个国家的2400多万份病患记录。这些系统中共有超过7.37亿张医学放射图片,其中大约4亿张可以直接下载。此外,有39个系统可通过未加密的HTTP协议提供服务,没有任何保护。”

大部分被曝光文件都包含以下字段:

  • 姓和名

  • 出生日期

  • 检查日期

  • 检查范围

  • 成像程序类型

  • 主治医生

  • 研究所/诊所

  • 生成图像的数量

研究人员使用RadiAnt DICOM Viewer来分析暴露在公网的PACS服务器中的数据,最终发现能够下载并查看7亿张图片中的4亿张。

此外,经过对PACS服务器地理分布的分析,发现大多数不安全的PACS服务器都在美国

报告中表示:“美国共有1370万组数据集和4580万张图片可以被随意访问。”

而在欧洲方面,意大利是不安全PACS系统最多的国家,也是医疗信息泄露最多的国家。

33.png

亚洲大多数不安全PACS服务器在印度(100台),泄露数据量(490万条)最多的是土耳其。

除了以上数据泄露问题,研究人员还发现45个PACS系统通过不安全的协议(如HTTP或FTP,非DICOM)提供数据。因此,这些医疗数据可能会在传输过程中被窃取。

其中某台服务器还存在目录遍历问题,任何人通过浏览器都能直接访问所有文件。

研究人员估计,在暗网中,这些数据的价值可能超过10亿美元。

报告最后总结道:“这些数据可能被攻击者用于各种目的。包括发布有损个人声誉的文章和照片;与其他数据相结合建立社工库;进行身份盗窃等等。”

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://securityaffairs.co/wordpress/91452/hacking/pacs-servers-unprotected-online.html

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号