Контакты
Подписка
МЕНЮ
Контакты
Подписка

В медоборудовании Smiths Medical обнаружены опасные уязвимости

В медоборудовании Smiths Medical обнаружены опасные уязвимости


11.09.2017

В медоборудовании Smiths Medical обнаружены опасные уязвимости

Эксперты по безопасности из ISC-CERT предупредили о ряде опасных уязвимостей в беспроводных инфузионных насосах Smiths Medical Medfusion 4000, позволяющих хакерам получить удаленный доступ к устройству и управлять его работой. Оборудование Smiths Medical используется в медучереждениях по всему миру для подачи небольших доз лекарств в неонатальной интенсивной терапии, педиатрии и во время операций.

 Некоторые из уязвимостей, обнаруженных исследователем Скоттом Гаю (Scott Gayou), имеют высокую степень опасности. Удаленный злоумышленник может с легкостью получить несанкционированный доступ к устройству и повлиять на работу насоса. Несмотря на сегментированный дизайн, атакующий может скомпрометировать коммуникационный и терапевтический модули устройства.

 Наиболее опасная уязвимость (CVE-2017-12725) связана с использованием вшитых учетных данных для автоматического беспроводного подключения. Помимо вышеуказанной проблемы, был обнаружен ряд других опасных уязвимостей, в частности уязвимость переполнения буфера (CVE-2017-12718), которая позволяет удаленно выполнить код на целевом устройстве при определенных условиях. Также исследователи выявили отсутствие механизма аутентификации (CVE-2017-12720), наличие неизменяемых учетных данных (CVE-2017-12724) для FTP-сервера устройства и отсутствие надлежащей проверки сертификатов (CVE-2017-12721), что позволяет осуществить атаку "человек посередине".

 Данные уязвимости затрагивают устройства Medfusion 4000 Wireless Syringe Infusion Pump v.1.1, 1.5 и 1.6. Smiths Medical выпустит исправленную версию прошивки 1.6.1 в январе 2018 года.

 Уязвимости в медицинском оборудовании являются серьезным поводом для беспокойства. В августе 2017 года Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) отозвало  465 тыс. уязвимых кардиостимуляторов производства компании Abbot (ранее известной как St. Jude Medical).

 

Securitylab