Баг в анестезиологических станциях GE Aestiva и GE Aespire позволяет удаленно вмешаться в работу устройств
В General Electric заявили, что уязвимость не представляет непосредственную опасность для пациентов.
Специалисты в области безопасности выявили уязвимость в прошивке ряда моделей анестезиологических станций производства компании General Electric (GE), с помощью которой злоумышленники могут удаленно изменить настройки устройств вплоть до параметров подачи дыхательной смеси. Речь идет об устройствах GE Aestiva и GE Aespire (модели 7100 и 7900). Воспользовавшись уязвимостью (CVE-2019-10966), злоумышленники может принудительно откатить версию коммуникационного протокола, используемого устройством, до менее безопасной и удаленно отправлять команды по локальной сети.
Для успешной атаки злоумышленник должен находиться в той же сети, что и устройство, при этом ему не требуются какие-либо специальные права. Кроме того, если система подключена к терминальному серверу, знание IP-адреса также необязательно.
Данная атака позволяет не только регулировать состав дыхательной газовой смеси, но и отключить оповещения, изменить время и дату, а также барометрическое давление. Для ее осуществления не требуется взаимодействие с пользователем или авторизация на устройстве.
По словам исследователей из компании CyberMDX, производитель был проинформирован о проблеме еще в октябре минувшего года. Как заявила General Electric, данная уязвимость не представляет непосредственную опасность для пациентов. В дальнейшем компания намерена выпустить корректирующие патчи, а пока предложила ряд мер по предотвращению эксплуатации уязвимости, в том числе использовать защищенные терминальные серверы при подключении наркозных аппаратов к сети.
