Verschiedene medizinische Geräte von GE Healthcare zur Überwachung von Patienten sind attackierbar. Sicherheitsforscher von CyberMDX haben insgesamt sechs Sicherheitslücken entdeckt. Attacken sind in vielen Fällen vergleichsweise trivial auszuführen. Von den Schwachstellen sind fünf mit der höchstmöglichen Risikoeinstufung (CVSS v3.0 Score 10/10) versehen. In vielen Fällen könnten Angreifer eigenen Code ausführen und die volle Kontrolle über Geräte erlangen. Attacken können aus der Ferne und ohne Authentifizierung durchgeführt werden. Die Sicherheitsforscher haben ihre Entdeckungen MDhex getauft und einen Bericht über ihre Erkenntnisse veröffentlicht. Konkret betroffen sind folgende Geräte: ApexPro Telemetry Server, Version 4.2 und früherCARESCAPE Telemetry Server, Version 4.2 und früherClinical Information Center (CIC), Versionen 4.X und 5.XCARESCAPE Telemetry Server, Version 4.3 (CVE-2020- 6962,CVE-2020-6961)CARESCAPE Central Station (CSCS), Version 1.XCARESCAPE Central Station (CSCS), Version 2.X (CVE-2020- 6962, CVE-2020-6964)B450, Version 2.X (CVE-2020- 6962, CVE-2020-6965)B650, Version 1.X (CVE-2020- 6962, CVE-2020-6965)B650, Version 2.X (CVE-2020- 6962, CVE-2020-6965)B850, Version 1.X (CVE-2020- 6962, CVE-2020-6965)B850, Version 2.X (CVE-2020- 6962, CVE-2020-6965) Private Schlüssel und Standard-Passwörter Um erfolgreich auf Geräte zu zugreifen, könnten Angreifer beispielsweise einen privaten SSH-Schlüssel für den Fernzugriff aus Konfigurationsdateien extrahieren. Alternativ könnte ein Zugriff auch über hartcodierte Standard-Log-in-Daten geschehen. Darüber hinaus entdeckten die Sicherheitsforscher noch, dass eine 14 Jahre alte Version der Fernverwaltungssoftware Webmin zum Einsatz kommt. Die Ausgabe ist quasi von Sicherheitslücken durchsiebt. Bis die vom Hersteller angekündigten Updates erscheinen, müssen Admins Geräte über Workarounds absichern. Die Cybersecurity and Infrastructure Security Agency (CISA) hat dazu in einer Meldung einiges zusammengetragen. So sollten Admins zum Beispiel die Standard-Passwörter zügig ändern und Geräte via Firewalls effektiv abschotten. (des) Zur Startseite
Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell für den Betrieb der Seite, während andere uns helfen, diese Website und die Nutzererfahrung zu verbessern (Tracking Cookies). Sie können selbst entscheiden, ob Sie die Cookies zulassen möchten. Bitte beachten Sie, dass bei einer Ablehnung womöglich nicht mehr alle Funktionalitäten der Seite zur Verfügung stehen.
Verschiedene medizinische Geräte von GE Healthcare zur Überwachung von Patienten sind attackierbar. Sicherheitsforscher von CyberMDX haben insgesamt sechs Sicherheitslücken entdeckt. Attacken sind in vielen Fällen vergleichsweise trivial auszuführen. Von den Schwachstellen sind fünf mit der höchstmöglichen Risikoeinstufung (CVSS v3.0 Score 10/10) versehen. In vielen Fällen könnten Angreifer eigenen Code ausführen und die volle Kontrolle über Geräte erlangen. Attacken können aus der Ferne und ohne Authentifizierung durchgeführt werden. Die Sicherheitsforscher haben ihre Entdeckungen MDhex getauft und einen Bericht über ihre Erkenntnisse veröffentlicht. Konkret betroffen sind folgende Geräte: ApexPro Telemetry Server, Version 4.2 und früherCARESCAPE Telemetry Server, Version 4.2 und früherClinical Information Center (CIC), Versionen 4.X und 5.XCARESCAPE Telemetry Server, Version 4.3 (CVE-2020- 6962,CVE-2020-6961)CARESCAPE Central Station (CSCS), Version 1.XCARESCAPE Central Station (CSCS), Version 2.X (CVE-2020- 6962, CVE-2020-6964)B450, Version 2.X (CVE-2020- 6962, CVE-2020-6965)B650, Version 1.X (CVE-2020- 6962, CVE-2020-6965)B650, Version 2.X (CVE-2020- 6962, CVE-2020-6965)B850, Version 1.X (CVE-2020- 6962, CVE-2020-6965)B850, Version 2.X (CVE-2020- 6962, CVE-2020-6965) Private Schlüssel und Standard-Passwörter Um erfolgreich auf Geräte zu zugreifen, könnten Angreifer beispielsweise einen privaten SSH-Schlüssel für den Fernzugriff aus Konfigurationsdateien extrahieren. Alternativ könnte ein Zugriff auch über hartcodierte Standard-Log-in-Daten geschehen. Darüber hinaus entdeckten die Sicherheitsforscher noch, dass eine 14 Jahre alte Version der Fernverwaltungssoftware Webmin zum Einsatz kommt. Die Ausgabe ist quasi von Sicherheitslücken durchsiebt. Bis die vom Hersteller angekündigten Updates erscheinen, müssen Admins Geräte über Workarounds absichern. Die Cybersecurity and Infrastructure Security Agency (CISA) hat dazu in einer Meldung einiges zusammengetragen. So sollten Admins zum Beispiel die Standard-Passwörter zügig ändern und Geräte via Firewalls effektiv abschotten. (des) Zur Startseite