用于患者监护的医疗设备的关键漏洞

Cyber​​MDX公司 发布 相关信息 六大漏洞，影响各种旨在监测患者状况的 GE Healthcare 医疗设备。 有 3 个漏洞被指定为最高严重级别（CVSSv10 10，满分 XNUMX）。 这些漏洞的代号为 MDhex，主要与整个系列设备中使用的先前已知的预装凭据有关。

• CVE-2020-6961 - 在整个产品线的设备上交付通用 SSH 密钥，允许您连接到任何设备并在其上执行代码。 该密钥也在更新交付过程中使用。
• CVE-2020-6962 - 所有设备通用的预定义凭据，用于通过 SMB 协议对文件系统进行写入和读取访问；
• CVE-2020-6963 - 无需身份验证即可使用 MultiMouse 和 Kavoom KM 应用程序远程控制设备（模拟键盘、鼠标和剪贴板）的能力；
• CVE-2020-6964 - 为所有设备预定义 VNC 连接参数；
• CVE-2020-6965 - 预设 易受伤害的 允许使用 root 权限进行远程访问的 Webmin 版本；
• CVE-2020-6966 – 设备上使用的更新安装管理器允许更新欺骗（更新通过已知的 SSH 密钥进行身份验证）。

这些问题影响遥测收集服务器 ApexPro 和 CARESCAPE 遥测服务器、CIC（临床信息中心）和 CSCS（CARESCAPE 中央站）平台以及 B450、B650 和 B850 患者监护系统。 这些漏洞允许对设备进行完全控制，可用于在操作系统级别进行更改、禁用警报或欺骗患者数据。

要进行攻击，攻击者必须能够与设备建立网络连接，例如通过连接到医院网络。 作为保护解决方法 提供 将有医疗设备的子网与综合医院网络隔离，并在防火墙上屏蔽22、137、138、139、445、10000、5225、5800、5900、10001网络端口。

来源： opennet.ru