病患監護醫療設備中的嚴重漏洞

Cyber​​MDX 公司 公開 關於的資訊 六大漏洞，影響了用於監測患者狀況的各種 GE Healthcare 醫療設備。五個漏洞被評為最高嚴重程度（CVSSv3 10 分（滿分 10 分））。這些漏洞的代號為 MDhex，主要與一系列設備中使用的預先已知、預先安裝的憑證有關。

• CVE-2020-6961 – 在裝置上的整個產品線中提供使用 SSH 金鑰，允許連接到任何裝置並在其上執行程式碼。此密鑰也用於更新傳送過程。
• CVE-2020-6962 - 用於對 SMB 檔案系統進行讀取/寫入存取的共用、裝置範圍的預先定義憑證；
• CVE-2020-6963 — 能夠使用 MultiMouse 和 Kavoom KM 應用程式在無需身份驗證的情況下遠端控制設備（模擬鍵盤、滑鼠和剪貼簿）；
• CVE-2020-6964 – 所有裝置預先定義的 VNC 連線參數；
• CVE-2020-6965 - 預安裝 易受傷害的 允許遠端根存取的 Webmin 版本；
• CVE-2020-6966 - 裝置上使用的更新安裝管理器允許更新欺騙（使用已知的 SSH 金鑰驗證更新）。

這些問題影響 ApexPro 和 CARESCAPE Telemetry Server 遙測收集伺服器、CIC（臨床資訊中心）和 CSCS（CARESCAPE 中央站）平台以及 B450、B650 和 B850 病患監測系統。這些漏洞可完全控制設備，並可用於在作業系統層級進行變更、停用警報或替換病患資料。

為了進行攻擊，攻擊者必須能夠建立與設備的網路連接，例如連接到醫院網路。作為保護的變通方法 提供 將醫療設備子網與醫院總網隔離，在防火牆上封鎖22、137、138、139、445、10000、5225、5800、5900、10001網口。

來源： opennet.ru