CVE-2020-6962

W webowym narzędziu do konfiguracji systemu nie jest przeprowadzana odpowiednia walidacja danych wejściowych (CWE-20). Atakujący może dostarczyć spreparowane dane wejściowe za pośrednictwem interfejsu sieciowego bez konieczności uwierzytelnienia, co prowadzi do wykonania arbitralnego kodu (RCE) na podatnym urządzeniu. Ze względu na sieciową dostępność interfejsu webowego oraz brak wymagań co do interakcji użytkownika, atak może zostać przeprowadzony w pełni zdalnie.

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem — wykonać dowolny kod zdalnie, co w środowisku medycznym może skutkować zakłóceniem pracy urządzeń monitorujących pacjentów, ujawnieniem wrażliwych danych klinicznych lub całkowitą utratą dostępności systemów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe zalecenia zostały opublikowane w komunikacie ICS-CERT ICSMA-20-023-01 (us-cert.gov). Administratorzy powinni ograniczyć dostęp sieciowy do webowego interfejsu konfiguracyjnego wyłącznie do zaufanych hostów oraz wdrożyć segmentację sieci dla systemów medycznych.

ApexPro Telemetry Server wersje 4.2 i wcześniejsze; CARESCAPE Telemetry Server wersje 4.2 i wcześniejsze oraz wersja 4.3; Clinical Information Center (CIC) wersje 4.X i 5.X; CARESCAPE Central Station (CSCS) wersje 1.X i 2.X; B450 wersja 2.X; B650 wersje 1.X i 2.X; B850 wersje 1.X i 2.X.

Podatność dotyczy systemów stosowanych w środowiskach medycznych do monitorowania pacjentów, co znacząco podnosi ryzyko operacyjne i potencjalne zagrożenie dla bezpieczeństwa ludzkiego życia. Podatność została zgłoszona przez ICS-CERT w ramach doradztwa ICSMA-20-023-01 opublikowanego 23 stycznia 2020 r.