第三方组件曝多个严重漏洞，飞利浦 Vue PACS 医学成像系统受影响

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士

本周二，美国网络安全和基础设施安全局 (CISA) 发布安全公告称，飞利浦 Vue 医疗产品受15个漏洞影响。

CISA 指出，其中很多缺陷位于第三方组件中，影响多款飞利浦临床医学协作平台门户 (Vue PACS）产品，包括 MyVue、Vue Speech 和 Vue Motion 等。

这些漏洞和输入验证不当、内存漏洞、认证不当、资源初始化不安全/不当、使用过期密钥、使用弱加密算法、防护机制不当、数据完整性问题、跨站点脚本、凭据保护不当以及敏感数据明文传输有关。

CISA 在安全公告中指出，“成功利用这些漏洞可导致越权个体或流程监听、查看或修改数据，获取系统访问权限，执行代码，安装越权软件或影响系统数据完整性，对系统的机密性、完整性或可用性造成负面影响。”

这15个漏洞影响的产品是：

• VUE Picture Archiving and Communication Systems （12.2.x.x 及之前版本）

• Vue MyVue （12.2.x.x 及之前版本）

• Vue Speech （12.2.x.x 及之前版本），以及

• Vue Motion （12.2.1.5 及之前版本）

在这15个漏洞中，其中7个似乎和飞利浦产品有关，余下的影响第三方组件如 Redis、7-Zip、Oracle Database、jQuery、Python 和 Apache Tomcat。这些第三方组件缺陷在2012年至2020年间发现，而对飞利浦有影响的具体漏洞的 CVE 编号是在2021年分配的。其中四个是严重级别，四个是高危级别，其它是中低危级别。

CISA 指出，虽然其中某些漏洞已被修复，但其它漏洞在2022年第一季度才会被修复。同时，组织机构可执行缓解措施以减少利用风险。

虽然CISA确实引用了飞利浦发布的安全公告，但飞利浦公司并未发布公开的公告，“CISA 建议用户和管理员查看 ICS 医疗公告 ICSMA-21-187-01 飞利浦 Vue PACS 并应用必要的更新或缓解措施。”

推荐阅读

第三方依赖关系的风险：利用数十个易受攻击的 NuGet包瞄准 .NET 平台

Windows DWrite 组件 RCE 漏洞 (CVE-2021-24093) 分析

开源组件XStream 修复11个漏洞并公开 PoC

原文链接

https://www.securityweek.com/cisa-says-philips-vue-healthcare-products-affected-15-vulnerabilities

https://thehackernews.com/2021/07/critical-flaws-reported-in-philips-vue.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~