CVE-2020-6965

Mechanizm aktualizacji oprogramowania w dotkniętych produktach GE Healthcare nie weryfikuje w wystarczającym stopniu zawartości przesyłanych pakietów aktualizacyjnych (CWE-434: Unrestricted Upload of File with Dangerous Type, CWE-20: Improper Input Validation). Uwierzytelniony atakujący może przygotować spreparowany pakiet aktualizacyjny zawierający dowolne pliki i przesłać go do systemu. Nieprawidłowa walidacja danych wejściowych umożliwia zapisanie tych plików w systemie bez odpowiednich ograniczeń.

Atakujący może umieścić w systemie dowolne pliki, co w praktyce może prowadzić do wykonania złośliwego kodu (RCE), przejęcia kontroli nad urządzeniem medycznym lub zakłócenia jego dostępności i integralności danych pacjentów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (doradztwo ICS-CERT ICSMA-20-023-01). Dodatkowo zaleca się ograniczenie dostępu sieciowego do dotkniętych systemów wyłącznie do autoryzowanych użytkowników i sieci medycznych, segmentację sieci oraz monitorowanie prób przesyłania nieautoryzowanych pakietów aktualizacyjnych.

ApexPro Telemetry Server w wersjach 4.2 i wcześniejszych; CARESCAPE Telemetry Server v4.2 i wcześniejszych; Clinical Information Center (CIC) w wersjach 4.X i 5.X; CARESCAPE Central Station (CSCS) w wersjach 1.X; B450 w wersji 2.X; B650 w wersjach 1.X i 2.X; B850 w wersjach 1.X i 2.X

Podatność opublikowana 2020-01-24 w ramach doradztwa ICS-CERT ICSMA-20-023-01 dotyczącego urządzeń medycznych GE Healthcare. Wymaga uwierzytelnienia, co obniża ryzyko ataku zdalnego bez posiadania poświadczeń, jednak w środowiskach medycznych może stanowić poważne zagrożenie dla ciągłości opieki nad pacjentem.