Mikilvægar veikleikar í lækningatækjum fyrir eftirlit með sjúklingum

CyberMDX fyrirtæki gerð opinber upplýsingar um sex veikleikar, sem hefur áhrif á ýmis GE Healthcare lækningatæki sem eru hönnuð til að fylgjast með ástandi sjúklinga. Fimm veikleikum er úthlutað hámarks alvarleikastigi (CVSSv3 10 af 10). Veikleikarnir hafa verið kallaðir MDhex og tengjast aðallega notkun á áður þekktum fyrirfram uppsettum skilríkjum sem notuð eru í allri röð tækjanna.

• CVE-2020-6961 - afhending á tækjum með sameiginlegum SSH lykli fyrir alla vörulínuna, sem gerir þér kleift að tengjast hvaða tæki sem er og keyra kóða á það. Þessi lykill er einnig notaður við afhendingu uppfærslunnar.
• CVE-2020-6962 - fyrirfram skilgreind skilríki sem eru sameiginleg öllum tækjum til að skrifa og lesa aðgang að skráarkerfinu í gegnum SMB samskiptareglur;
• CVE-2020-6963 - hæfileikinn til að nota MultiMouse og Kavoom KM forrit til að fjarstýra tæki (líkja eftir lyklaborði, mús og klemmuspjaldi) án auðkenningar;
• CVE-2020-6964 - fyrirfram skilgreindar VNC tengibreytur fyrir öll tæki;
• CVE-2020-6965 - forstillt viðkvæm útgáfa af Webmin sem leyfir fjaraðgang með rótarréttindum;
• CVE-2020-6966 – Uppsetningarstjóri uppsetningar sem notaður er á tækjum leyfir uppfærsluskemmtun (uppfærslur eru auðkenndar með þekktum SSH lykli).

Vandamálin hafa áhrif á fjarmælingarsöfnunarþjónana ApexPro og CARESCAPE Telemetry Server, CIC (Clinical Information Center) og CSCS (CARESCAPE Central Station) pallana, sem og B450, B650 og B850 sjúklingaeftirlitskerfin. Veikleikarnir leyfa fulla stjórn á tækjum, sem hægt er að nota til að gera breytingar á stýrikerfisstigi, slökkva á viðvörun eða skemma sjúklingagögn.

Til að ráðast á þarf árásarmaðurinn að geta komið á nettengingu við tækið, til dæmis með því að tengjast sjúkrahúsneti. Sem lausn til verndar boðið upp á einangra undirnetið með lækningatækjum frá almenna sjúkrahúsnetinu og loka fyrir nettengi 22, 137, 138, 139, 445, 10000, 5225, 5800, 5900 og 10001 á eldveggnum.

Heimild: opennet.ru