Podatność w produktach GE Healthcare Imaging i Ultrasound umożliwia ujawnienie poświadczeń uwierzytelniających podczas przesyłania ich przez sieć. Ze względu na brak odpowiedniej ochrony transmisji, atakujący może przechwycić dane logowania do urządzeń medycznych, co jest szczególnie groźne w kontekście infrastruktury krytycznej.
▸ Pokaż oryginał (EN)
GE Healthcare Imaging and Ultrasound Products may allow specific credentials to be exposed during transport over the network.
Podatność wynika z nieprawidłowego lub niewystarczającego zabezpieczenia poświadczeń podczas ich transmisji przez sieć (CWE-523 — niezabezpieczona transmisja poświadczeń) oraz ich nieodpowiedniego przechowywania lub ochrony (CWE-522 — niewystarczająco chronione poświadczenia). Atakujący z dostępem do segmentu sieci, przez który przesyłane są dane, może przechwycić poświadczenia w trakcie ich transportu. Nie są wymagane żadne uprawnienia ani interakcja ze strony użytkownika, a atak może być przeprowadzony zdalnie.
Atakujący może uzyskać poświadczenia do urządzeń medycznych GE Healthcare, co może prowadzić do nieautoryzowanego dostępu, przejęcia kontroli nad urządzeniem, a w konsekwencji do naruszenia poufności, integralności i dostępności systemu oraz potencjalnego zagrożenia dla pacjentów.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również izolację sieciową urządzeń medycznych, stosowanie szyfrowanych protokołów transmisji (VPN, TLS) oraz ograniczenie dostępu do segmentów sieci, w których pracują urządzenia GE Healthcare. Szczegółowe zalecenia zawiera adwizoryum CISA ICS-CERT ICSMA-20-343-01.
GE Healthcare 3.0T Signa HDXT (firmware i hardware), GE Healthcare 3.0T Signa HD 16 (firmware i hardware), GE Healthcare 3.0T Signa HD 23 Firmware oraz inne produkty z linii GE Healthcare Imaging i Ultrasound — dokładne wersje wskazane w referencjach producenta i w adwizoryum ICS-CERT (ICSMA-20-343-01)
Podatność została opisana w adwizoryum ICS-CERT o numerze ICSMA-20-343-01, opublikowanym przez CISA. Dotyczy urządzeń medycznych klasy MRI, co czyni ją szczególnie istotną z punktu widzenia bezpieczeństwa infrastruktury medycznej.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HGehealthcare 1.5t Brivo Mr355
HWGehealthcarewszystkie wersjeGehealthcare 1.5t Brivo Mr355 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 16
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 16 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 23
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 23 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hdxt
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hdxt Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Definiu
HWGehealthcarewszystkie wersjeGehealthcare Brivo Definiu Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr118
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr118 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr383
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr383 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr515
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr515 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr575
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr575 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 5000
HWGehealthcarewszystkie wersjeGehealthcare Definium 5000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 6000
HWGehealthcarewszystkie wersjeGehealthcare Definium 6000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 8000
HWGehealthcarewszystkie wersjeGehealthcare Definium 8000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Echopac Bt06
HWGehealthcarewszystkie wersjeGehealthcare Echopac Bt06 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Image Vault
HWGehealthcarewszystkie wersjeGehealthcare Image Vault Firmware
OSGehealthcarewszystkie wersjeGehealthcare Innova 2000
HWGehealthcarewszystkie wersjeGehealthcare Innova 2000 Firmware
OSGehealthcarewszystkie wersje
Powiązane podatności
Ujawnienie poświadczeń uwierzytelnienia w produktach GE Healthcare podczas transmisji sieciowej
The HIPAA configuration interface in GE Healthcare Optima MR360 has a password of (1) operator for the root ac...
GE Healthcare Optima MR360 does not require authentication for the HIPAA emergency login procedure, which allo...
Ujawnienie klucza prywatnego SSH w produktach GE Healthcare
RCE poprzez brak walidacji danych wejściowych w GE Healthcare — systemy telemetryczne