Podatność w produktach GE Healthcare z obszaru obrazowania i ultrasonografii umożliwia ujawnienie określonych poświadczeń uwierzytelnienia podczas ich przesyłania przez sieć. Ze względu na medyczny charakter urządzeń oraz wysoki wynik CVSS 9.8, podatność stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury szpitalnej.
▸ Pokaż oryginał (EN)
GE Healthcare Imaging and Ultrasound Products may allow specific credentials to be exposed during transport over the network.
Produkty GE Healthcare przesyłają przez sieć poświadczenia w sposób umożliwiający ich przechwycenie przez nieuprawnionego atakującego. Zgodnie z klasyfikacją CWE-497 i CWE-200, podatność polega na niezamierzonym ujawnieniu wrażliwych informacji systemowych i poświadczeń podczas transmisji sieciowej. Atakujący znajdujący się w segmencie sieci, przez który przechodzi ruch urządzenia, może potencjalnie przechwycić te dane bez konieczności uwierzytelniania się ani interakcji ze strony użytkownika.
Atakujący może uzyskać dostęp do poświadczeń uwierzytelnienia, co może prowadzić do nieautoryzowanego dostępu do urządzeń medycznych GE Healthcare, a w konsekwencji do naruszenia poufności, integralności oraz dostępności systemu i przetwarzanych danych pacjentów.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory ICS-CERT ICSMA-20-343-01). Dodatkowo zaleca się izolację sieciową urządzeń medycznych, stosowanie szyfrowanych kanałów komunikacji oraz monitorowanie ruchu sieciowego w segmentach zawierających urządzenia GE Healthcare.
GE Healthcare 3.0T Signa HDXT Firmware, GE Healthcare 3.0T Signa HD 16 Firmware, GE Healthcare 3.0T Signa HD 23 Firmware oraz powiązane urządzenia sprzętowe — szczegółowe wersje wskazane w referencjach producenta (ICSMA-20-343-01)
Podatność dotyczy urządzeń medycznych klasy MRI stosowanych w środowiskach szpitalnych. Advisory zostało opublikowane przez ICS-CERT (ICSMA-20-343-01) w dniu 14 grudnia 2020 roku.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HGehealthcare 1.5t Brivo Mr355
HWGehealthcarewszystkie wersjeGehealthcare 1.5t Brivo Mr355 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 16
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 16 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 23
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hd 23 Firmware
OSGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hdxt
HWGehealthcarewszystkie wersjeGehealthcare 3.0t Signa Hdxt Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Definiu
HWGehealthcarewszystkie wersjeGehealthcare Brivo Definiu Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr118
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr118 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr383
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr383 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr515
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr515 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Brivo Xr575
HWGehealthcarewszystkie wersjeGehealthcare Brivo Xr575 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 5000
HWGehealthcarewszystkie wersjeGehealthcare Definium 5000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 6000
HWGehealthcarewszystkie wersjeGehealthcare Definium 6000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Definium 8000
HWGehealthcarewszystkie wersjeGehealthcare Definium 8000 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Echopac Bt06
HWGehealthcarewszystkie wersjeGehealthcare Echopac Bt06 Firmware
OSGehealthcarewszystkie wersjeGehealthcare Image Vault
HWGehealthcarewszystkie wersjeGehealthcare Image Vault Firmware
OSGehealthcarewszystkie wersjeGehealthcare Innova 2000
HWGehealthcarewszystkie wersjeGehealthcare Innova 2000 Firmware
OSGehealthcarewszystkie wersje
Powiązane podatności
Ujawnienie poświadczeń podczas transmisji sieciowej w urządzeniach GE Healthcare
The HIPAA configuration interface in GE Healthcare Optima MR360 has a password of (1) operator for the root ac...
GE Healthcare Optima MR360 does not require authentication for the HIPAA emergency login procedure, which allo...
Ujawnienie klucza prywatnego SSH w produktach GE Healthcare
RCE poprzez brak walidacji danych wejściowych w GE Healthcare — systemy telemetryczne