Esto es grave, y las pruebas que se puedan hacer en un hospital o clínica deben ser tratadas con máximo cuidado, incluyendo los Ethical Hacking que un hospital pueda contratar.


La empresa CyberMDX ha descubierto una vulnerabilidad de dispositivos médicos de anestesia y dispositivos respiratorios de GE
Riesgo: Medio. Se ha calculado un grado CVSS v3 de 5.3 .
La cadena del vector CVSS es AV: N / AC: L / PR: N / UI: N / S: U / C: N / I: L / A: N
Fecha descubierta por CyberMDX : 29 de octubre de 2018
Fecha de asesoría de ICS-CERT: 9 de julio de 2019

Resumen
El equipo de investigación de CyberMDX descubrió una vulnerabilidad relacionada con los dispositivos GE Aestiva y GE Aespire (modelos 7100 y 7900). Si un atacante obtiene acceso a la red de un hospital y si los dispositivos GE Aestiva o GE Aespire están conectados a través de servidores terminales, el atacante puede obligar a los dispositivos a volver a una versión anterior y menos segura del protocolo de comunicación y modificar los parámetros de forma remota. sin autorización Cuando se implementa utilizando servidores de terminal, estas modificaciones también se pueden realizar sin ningún conocimiento previo de las direcciones IP o la ubicación de la máquina de anestesia. El ataque podría llevar a:

·     Ingreso de composición de gas no autorizada: alteración de la concentración de oxígeno inspirado/expirado, CO2, N2O y agentes anestésicos.
·     Manipulación de los ajustes de presión barométrica y selección del tipo de agente anestésico.
·     Silencio remoto de alarmas.
·     Alteración de los ajustes de fecha y hora.
Esto podría afectar la confidencialidad, integridad y disponibilidad de un componente del sistema.

Dispositivos afectados
La vulnerabilidad en cuestión se refiere específicamente a las máquinas GE Aestive y GE Aespire, versiones 7100 y 7900 respectivamente (4 combinaciones en total).

Contexto de ataque
Los anestesiólogos generalmente tendrán protocolos estrictos que requieren que documenten los procedimientos, las dosis, los signos vitales y más.
Esta es la razón principal por la que las máquinas de anestesia están conectadas a la red: informar y documentar su estado y acciones. (Es en este sentido que las alteraciones en la configuración de la fecha y la hora pueden ser importantes, lo que hace que se mezclen con la cronología de los registros y socave la eficacia de los logs de auditoría).
Estas máquinas tienen un puerto de comunicación en serie y la integración de la red se logra a través del terminal server.

Comandos habilitados vía ataque

• Entrada de composición del gas: establece la concentración de oxígeno inspirado/expirado, CO2, N2O y agentes anestésicos; También es capaz de ajustar la presión barométrica y seleccionar el tipo de agente anestésico.


• Alarmas de silencio: la alarma de la máquina está diseñada para generar un ruido fuerte y continuo hasta llamar la atención de alguien y atender las condiciones subyacentes del paciente/dispositivo. (La explotación de la vulnerabilidad en cuestión puede permitir que un usuario mal intencionado envíe comandos para silenciar la alarma para que el ruido se escuche brevemente).


• Fecha y hora establecidas.

Pruebas de campo

El equipo de investigación de CyberMDX realizó varias pruebas de campo con las máquinas en cuestión y confirmó exitosamente la vulnerabilidad.
Sin embargo, se debe tener en cuenta que el equipo solo intentó el comando de silenciar la alarma del dispositivo, ya que los ajustes en la configuración de la composición química y el tiempo pueden tener consecuencias complicadas y potencialmente duraderas que deberían evitarse en un entorno hospitalario real.

Caracteristicas de ataque

Según el CVSS 3.0 vulnerability scoring rubric, se aplican las siguientes características:

• Vector de ataque: la red. Este ataque es sobre TCP.


• Complejidad: baja. Solo requiere conocimiento de las convenciones de mando.


• Privilegios requeridos: ninguno. La máquina no requiere ni utiliza autenticación.


• Interacción del usuario: Ninguna, esto se hace de forma remota sin que se necesite nada en el lado del usuario.


• Alcance: Sin cambios.


• Confidencialidad: Ninguna. Un atacante puede ver las dosis y los nombres de los medicamentos utilizados por los pacientes en una habitación.


• Disponibilidad: Baja. Las alarmas de silenciamiento y el ajuste de la hora/fecha pueden afectar la confiabilidad de la información .

Mitigaciones y Recomendaciones
GE Healthcare planea proporcionar actualizaciones e información de seguridad adicional sobre esta vulnerabilidad para los usuarios afectados. Por favor, consulte su sitio web para más información.

Crédito
Elad Luz , jefe de investigación en CyberMDX