Verschiedene medizinische Geräte von GE Healthcare zur Überwachung von Patienten sind attackierbar. Sicherheitsforscher von CyberMDX haben insgesamt sechs Sicherheitslücken entdeckt. Attacken sind in vielen Fällen vergleichsweise trivial auszuführen.
Von den Schwachstellen sind fünf mit der höchstmöglichen Risikoeinstufung (CVSS v3.0 Score 10/10) versehen. In vielen Fällen könnten Angreifer eigenen Code ausführen und die volle Kontrolle über Geräte erlangen. Attacken können aus der Ferne und ohne Authentifizierung durchgeführt werden. Die Sicherheitsforscher haben ihre Entdeckungen MDhex getauft und einen Bericht über ihre Erkenntnisse veröffentlicht.
Konkret betroffen sind folgende Geräte:
- ApexPro Telemetry Server, Version 4.2 und früher
- CARESCAPE Telemetry Server, Version 4.2 und früher
- Clinical Information Center (CIC), Versionen 4.X und 5.X
- CARESCAPE Telemetry Server, Version 4.3 (CVE-2020- 6962,CVE-2020-6961)
- CARESCAPE Central Station (CSCS), Version 1.X
- CARESCAPE Central Station (CSCS), Version 2.X (CVE-2020- 6962, CVE-2020-6964)
- B450, Version 2.X (CVE-2020- 6962, CVE-2020-6965)
- B650, Version 1.X (CVE-2020- 6962, CVE-2020-6965)
- B650, Version 2.X (CVE-2020- 6962, CVE-2020-6965)
- B850, Version 1.X (CVE-2020- 6962, CVE-2020-6965)
- B850, Version 2.X (CVE-2020- 6962, CVE-2020-6965)
Private Schlüssel und Standard-Passwörter
Um erfolgreich auf Geräte zu zugreifen, könnten Angreifer beispielsweise einen privaten SSH-Schlüssel für den Fernzugriff aus Konfigurationsdateien extrahieren. Alternativ könnte ein Zugriff auch über hartcodierte Standard-Log-in-Daten geschehen. Darüber hinaus entdeckten die Sicherheitsforscher noch, dass eine 14 Jahre alte Version der Fernverwaltungssoftware Webmin zum Einsatz kommt. Die Ausgabe ist quasi von Sicherheitslücken durchsiebt.
Bis die vom Hersteller angekündigten Updates erscheinen, müssen Admins Geräte über Workarounds absichern. Die Cybersecurity and Infrastructure Security Agency (CISA) hat dazu in einer Meldung einiges zusammengetragen. So sollten Admins zum Beispiel die Standard-Passwörter zügig ändern und Geräte via Firewalls effektiv abschotten.
Quelle: MDhex: Angreifer könnten medizinische Geräte von GE Healthcare kontrollieren | heise online