La herramienta de análisis de la seguridad del código fuente de las aplicaciones de Pradeo ha permitido descubrir una vulnerabilidad en el código de una biblioteca open source muy extendida, destinada a los desarrolladores. Disponible para su descarga libre por la comunidad, este módulo de interfaz que permite dejar comentarios presentaba un fallo que permitía obtener permisos de administrador sobre la aplicación.
La vulnerabilidad fue descubierta por la empresa Hopinnov, pionera en la digitalización de la logística hospitalaria y usuaria de la solución de análisis de código fuente de Pradeo. La startup con sede en Rennes construyó parte de su aplicación en open source, convencida de sus ventajas.
Elevación de privilegios: basta con una sola línea de código vulnerable
La vulnerabilidad crítica fue detectada por la herramienta de análisis de la seguridad del código fuente de las aplicaciones de Pradeo. Su detección permitió a Sébastien Valentini, presidente y cofundador de Hopinnov, comunicarla a los responsables del módulo. Ellos garantizaron su resolución en unos días gracias a una línea de código correctiva.
En el marco de la solución POC & PICK de Hopinnov, el módulo de comentarios afectado por el fallo permite a quienes acceden compartir sus observaciones sobre los protocolos quirúrgicos: la preparación de los quirófanos, el material utilizado, la disposición de la sala, la colocación del paciente…
Esta vulnerabilidad abría la puerta a una elevación de privilegios que podría haber resultado problemática para los datos del hospital. Un ciberdelincuente podría haber obtenido credenciales y contraseñas de administrador y conectarse así fácilmente a la interfaz, con la posibilidad de modificar a su antojo los protocolos quirúrgicos y de recuperar toda la información disponible en la aplicación.
Un enfoque complementario entre auditoría y pentesting
Afortunadamente, antes de comercializar su aplicación, Hopinnov realizó una prueba de intrusión auditando su código fuente con la solución de Pradeo, combinada con pentesting. Este enfoque complementario les permitió sacar a la luz esa vulnerabilidad explotable y se utiliza ahora de forma periódica para limitar los riesgos.
Tras un nuevo análisis de la aplicación de Hopinnov con la solución de Pradeo después de corregir la vulnerabilidad, la aplicación y, por extensión, el módulo de comentarios open source están ahora protegidos.
Con Pradeo, la empresa de Sébastien Valentini se asegura de forma continua de que el código de su aplicación no presente vulnerabilidades. En efecto, la herramienta, que integra análisis específicos del sector sanitario y ofrece un mecanismo disruptivo de detección y remediación de vulnerabilidades conforme a las prácticas de programación segura, le ha permitido proteger su código desde el diseño.
El personal sanitario usuario puede ahora comentar el aspecto logístico y preparatorio de un quirófano con total seguridad. La modificación del protocolo está reservada a personas debidamente autorizadas, igual que el acceso a determinada información clave.
«El análisis de la seguridad del código de las aplicaciones realizado por la herramienta de Pradeo nos ha permitido integrar de forma óptima y lo antes posible el riesgo cibernético, un elemento esencial en un sector como el sanitario, afectado con frecuencia por ciberataques y con retos críticos. Hopinnov, como editor de software, tiene la misión de simplificar el trabajo del personal hospitalario y debemos garantizar una seguridad máxima y permanente de nuestro software.» afirma Sébastien Valentini, presidente y cofundador de Hopinnov.
Acerca de Pradeo: Pradeo ofrece soluciones para proteger las aplicaciones y los terminales móviles. La tecnología Pradeo Security está reconocida por Gartner, IDC, Forrester y Frost & Sullivan como una de las más avanzadas del mercado. Garantiza una detección precisa de las amenazas, previniendo así la exfiltración de información desde los móviles y reforzando el cumplimiento de las leyes de protección de datos.
