Критические уязвимости в медицинских приборах для мониторинга состояния пациентов

Компания CyberMDX обнародовала сведения о шести уязвимостях, затрагивающих различные медицинские устройства компании GE Healthcare, предназначенные для слежения за состоянием пациентов. Пяти уязвимостям присвоен максимальный уровень опасности (CVSSv3 10 из 10). Уязвимости получили кодовое имя MDhex и в основном связаны с применением заранее известных предустановленных учётных данных, применяемых на всей серии устройств.

CVE-2020-6961 — поставка на устройствах общего для всей линейки продуктов SSH-ключа, позволяющего подключиться к любому устройству и выполнить код на нём. Данный ключ также используется в процессе доставки обновлений.
CVE-2020-6962 — общие для всех устройств предопределённые учётные данные для доступа на запись и чтение к файловой системе по протоколу SMB;
CVE-2020-6963 — возможность применения приложений MultiMouse и Kavoom KM для удалённого управления устройством (симуляция клавиатуры, мыши и буфера обмена) без проведения аутентификации;
CVE-2020-6964 — предопределённые для всех устройств параметры подключения по протоколу VNC;
CVE-2020-6965 — предустановка уязвимой версии Webmin, позволяющей удалённо получить доступ с правами root;
CVE-2020-6966 — применяемый на устройствах менеджер установки обновлений допускает подмену обновления (обновления заверяются известным SSH-ключом).

Проблемы затрагивают серверы сбора телеметрии ApexPro и CARESCAPE Telemetry Server, платформы CIC (Clinical Information Center) и CSCS (CARESCAPE Central Station), а также комплексы мониторинга состояния пациента B450, B650 и B850. Уязвимости позволяют получить полный контроль за устройствами, что может использоваться для внесения изменений на уровне операционной системы, отключения сигнала тревоги или подмены данных о состоянии пациента.

Для атаки злоумышленник должен иметь возможность установить сетевое соединение с устройством, например, подключившись к больничной сети. В качестве обходных путей защиты предлагается изолировать подсеть с медицинскими устройствами от общей больничной сети и блокировать сетевые порты 22, 137, 138, 139, 445, 10000, 5225, 5800, 5900 и 10001 на межсетевом экране.