Mga kritikal na kahinaan sa mga medikal na aparato para sa pagsubaybay ng pasyente

Kumpanya ng CyberMDX ginawang publiko impormasyon tungkol sa anim na kahinaan, na nakakaapekto sa iba't ibang kagamitang medikal ng GE Healthcare na idinisenyo upang subaybayan ang mga kondisyon ng pasyente. Limang kahinaan ang itinalaga sa pinakamataas na antas ng kalubhaan (CVSSv3 10 sa 10). Ang mga kahinaan ay na-codenamed na MDhex at pangunahing nauugnay sa paggamit ng dati nang kilalang pre-installed na mga kredensyal na ginamit sa buong serye ng mga device.

• CVE-2020-6961 - paghahatid sa mga device ng isang karaniwang SSH key para sa buong linya ng produkto, na nagbibigay-daan sa iyong kumonekta sa anumang device at magsagawa ng code dito. Ginagamit din ang key na ito sa panahon ng proseso ng paghahatid ng update.
• CVE-2020-6962 - mga paunang natukoy na kredensyal na karaniwan sa lahat ng mga device para sa pag-access sa pagsulat at pagbasa sa file system sa pamamagitan ng SMB protocol;
• CVE-2020-6963 - ang kakayahang gumamit ng mga application ng MultiMouse at Kavoom KM upang malayuang kontrolin ang isang device (gayahin ang keyboard, mouse at clipboard) nang walang pagpapatunay;
• CVE-2020-6964 - paunang natukoy na mga parameter ng koneksyon ng VNC para sa lahat ng device;
• CVE-2020-6965 - preset mahina isang bersyon ng Webmin na nagbibigay-daan sa malayuang pag-access na may mga karapatan sa ugat;
• CVE-2020-6966 – Ang manager ng pag-install ng update na ginagamit sa mga device ay nagbibigay-daan sa pag-update ng spoofing (ang mga update ay napatotohanan ng isang kilalang SSH key).

Ang mga problema ay nakakaapekto sa ApexPro at CARESCAPE Telemetry Server telemetry collection server, ang CIC (Clinical Information Center) at CSCS (CARESCAPE Central Station) na mga platform, gayundin ang B450, B650 at B850 na mga sistema ng pagsubaybay sa pasyente. Ang mga kahinaan ay nagbibigay-daan sa ganap na kontrol sa mga device, na maaaring magamit upang gumawa ng mga pagbabago sa antas ng operating system, i-disable ang isang alarma, o madaya ang data ng pasyente.

Upang mag-atake, ang umaatake ay dapat na makapagtatag ng isang koneksyon sa network sa device, halimbawa sa pamamagitan ng pagkonekta sa isang network ng ospital. Bilang proteksyon workarounds inaalok ihiwalay ang subnet gamit ang mga medikal na device mula sa pangkalahatang network ng ospital at i-block ang network port 22, 137, 138, 139, 445, 10000, 5225, 5800, 5900 at 10001 sa firewall.

Pinagmulan: opennet.ru