用於病患監護的醫療設備的關鍵漏洞

Cyber​​MDX公司 公開 相關資訊 六大漏洞，影響各種旨在監測病患狀況的 GE Healthcare 醫療設備。 有 3 個漏洞被指定為最高嚴重等級（CVSSv10 10，滿分為 XNUMX）。 這些漏洞的代號為 MDhex，主要與整個系列設備中使用的先前已知的預裝憑證有關。

• CVE-2020-6961 - 在整個產品線的裝置上交付通用 SSH 金鑰，讓您連接到任何裝置並在其上執行程式碼。 此密鑰也在更新交付過程中使用。
• CVE-2020-6962 - 所有裝置通用的預定義憑證，用於透過 SMB 協定對檔案系統進行寫入和讀取存取；
• CVE-2020-6963 - 無需身份驗證即可使用 MultiMouse 和 Kavoom KM 應用程式遠端控制設備（模擬鍵盤、滑鼠和剪貼簿）的能力；
• CVE-2020-6964 - 為所有設備預定義 VNC 連接參數；
• CVE-2020-6965 - 預設 易受傷害的 允許使用 root 權限進行遠端存取的 Webmin 版本；
• CVE-2020-6966 – 裝置上使用的更新安裝管理器允許更新欺騙（更新透過已知的 SSH 金鑰進行身份驗證）。

這些問題影響遙測收集伺服器 ApexPro 和 CARESCAPE 遙測伺服器、CIC（臨床資訊中心）和 CSCS（CARESCAPE 中央站）平台以及 B450、B650 和 B850 病患監護系統。 這些漏洞允許對設備進行完全控制，可用於在作業系統層級進行變更、停用警報或欺騙患者資料。

要進行攻擊，攻擊者必須能夠與設備建立網路連接，例如透過連接到醫院網路。 作為保護解決方法 提供 將有醫療設備的子網路與一般醫院網路隔離，並在防火牆上屏蔽22、137、138、139、445、10000、5225、5800、5900、10001網路連接埠。

來源： opennet.ru