CVE-2020-6961

Klucz prywatny SSH jest przechowywany w plikach konfiguracyjnych urządzeń w sposób niezabezpieczony (CWE-256: niechronione przechowywanie poświadczeń, CWE-522: niewystarczająco chronione dane uwierzytelniające). Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może odczytać te pliki i pozyskać klucz prywatny SSH. Posiadanie klucza prywatnego umożliwia podszywanie się pod urządzenie lub nawiązywanie autoryzowanych połączeń SSH do innych systemów w sieci.

Atakujący może uzyskać dostęp do klucza prywatnego SSH, co potencjalnie pozwala na nieautoryzowane logowanie do systemów sieciowych, przechwycenie komunikacji oraz dalsze kompromitowanie infrastruktury medycznej. Wysoki wpływ na poufność, integralność i dostępność wskazuje na możliwość pełnego przejęcia kontroli nad dotkniętymi systemami.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory ICS-CERT ICSMA-20-023-01). Dodatkowo zaleca się izolację sieciową dotkniętych urządzeń, ograniczenie dostępu do nich wyłącznie do zaufanych hostów oraz rotację kluczy SSH po wdrożeniu poprawek.

GE Healthcare ApexPro Telemetry Server w wersjach 4.2 i wcześniejszych; GE Healthcare CARESCAPE Telemetry Server w wersjach 4.2 i wcześniejszych oraz wersja 4.3; GE Healthcare Clinical Information Center (CIC) w wersjach z rodziny 4.X i 5.X; GE Healthcare CARESCAPE Central Station (CSCS) w wersjach z rodziny 1.X

Podatność dotyczy urządzeń medycznych klasy krytycznej stosowanych w środowiskach szpitalnych. Advisory zostało opublikowane przez ICS-CERT (ICSMA-20-023-01) w dniu 23 stycznia 2020 roku.