CVE-2020-6966

Podatne urządzenia korzystają z mechanizmu zdalnego sterowania pulpitem opartego na niewystarczająco silnym algorytmie szyfrowania (CWE-326). Słabe szyfrowanie pozwala atakującemu znajdującemu się w sieci na przechwycenie lub manipulację komunikacją zdalnego pulpitu bez konieczności uwierzytelnienia. Wykorzystując tę słabość, atakujący może uzyskać zdalne wykonanie kodu na docelowym urządzeniu. Atak nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika, a jego zasięg wykracza poza granicę bezpośrednio atakowanego systemu (Scope: Changed).

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem medycznym poprzez zdalne wykonanie dowolnego kodu (RCE), co może skutkować naruszeniem poufności danych pacjentów, modyfikacją danych klinicznych oraz zakłóceniem dostępności urządzeń telemetrycznych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (patrz: ICS-CERT Advisory ICSMA-20-023-01 oraz materiały GE Healthcare). Zaleca się również segmentację sieci medycznej, ograniczenie dostępu do usług zdalnego pulpitu wyłącznie do zaufanych hostów oraz monitorowanie ruchu sieciowego na podatnych urządzeniach do czasu zastosowania aktualizacji.

GE Healthcare ApexPro Telemetry Server wersje 4.2 i wcześniejsze; GE Healthcare CARESCAPE Telemetry Server wersje 4.2 i wcześniejsze; GE Healthcare Clinical Information Center (CIC) wersje z rodziny 4.X oraz 5.X; GE Healthcare CARESCAPE Central Station (CSCS) wersje z rodziny 1.X

Podatność dotyczy urządzeń medycznych stosowanych w środowiskach klinicznych (telemetria, stacje centralne). Advisory opublikowane przez ICS-CERT (ICSMA-20-023-01) w dniu 2020-01-24. Wynik CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań co do uwierzytelnienia, uprawnień i interakcji użytkownika przy pełnym wpływie na poufność, integralność i dostępność.