Krytyczne luki w urządzeniach medycznych do monitorowania pacjenta

Firma CyberMDX upublicznione Informacja o sześć luk, wpływając na różne wyroby medyczne firmy GE Healthcare przeznaczone do monitorowania stanu pacjenta. Pięć luk ma przypisany maksymalny poziom ważności (CVSSv3 10 z 10). Luki otrzymały nazwę kodową MDhex i są związane głównie z wykorzystaniem znanych wcześniej, preinstalowanych danych uwierzytelniających używanych w całej serii urządzeń.

• CVE-2020-6961 - dostawa na urządzenia wspólnego klucza SSH dla całej linii produktów, który pozwala na połączenie się z dowolnym urządzeniem i wykonanie na nim kodu. Klucz ten jest również używany podczas procesu dostarczania aktualizacji.
• CVE-2020-6962 – predefiniowane dane uwierzytelniające, wspólne dla wszystkich urządzeń, umożliwiające dostęp do zapisu i odczytu systemu plików za pośrednictwem protokołu SMB;
• CVE-2020-6963 - możliwość wykorzystania aplikacji MultiMouse i Kavoom KM do zdalnego sterowania urządzeniem (symulacja klawiatury, myszy i schowka) bez uwierzytelniania;
• CVE-2020-6964 - predefiniowane parametry połączenia VNC dla wszystkich urządzeń;
• CVE-2020-6965 – wstępnie ustawione wrażliwy wersja Webmina umożliwiająca zdalny dostęp z uprawnieniami roota;
• CVE-2020-6966 – Menedżer instalacji aktualizacji używany na urządzeniach umożliwia fałszowanie aktualizacji (aktualizacje są uwierzytelniane za pomocą znanego klucza SSH).

Problemy dotyczą serwerów zbierających dane telemetryczne ApexPro i CARESCAPE Telemetry Server, platform CIC (Centrum Informacji Klinicznej) i CSCS (Stacja Centralna CARESCAPE), a także systemów monitorowania pacjentów B450, B650 i B850. Luki pozwalają na pełną kontrolę nad urządzeniami, które można wykorzystać do wprowadzenia zmian na poziomie systemu operacyjnego, wyłączenia alarmu czy fałszowania danych pacjenta.

Aby dokonać ataku, osoba atakująca musi mieć możliwość nawiązania połączenia sieciowego z urządzeniem, na przykład łącząc się z siecią szpitalną. Jako obejścia ochronne oferowany odizoluj podsieć zawierającą urządzenia medyczne od ogólnej sieci szpitalnej i zablokuj porty sieciowe 22, 137, 138, 139, 445, 10000, 5225, 5800, 5900 i 10001 na zaporze ogniowej.

Źródło: opennet.ru