Eine Analyse der Daten von mehr als 200.000 vernetzten Infusionspumpen, die in Krankenhäusern und Einrichtungen des Gesundheitswesens eingesetzt werden, hat ergeben, dass 75 % dieser medizinischen Geräte Sicherheitslücken aufweisen, die sie einem potenziellen Angriff aussetzen könnten.
„Zu diesen Schwachstellen gehörten eine oder mehrere von etwa 40 bekannten Cybersicherheitslücken und/oder Warnungen, dass sie eine oder mehrere von etwa 70 anderen Arten von bekannten Sicherheitsmängeln für IoT-Geräte aufweisen“, so Unit 42-Sicherheitsforscher Aveek Das in einem am Mittwoch veröffentlichten Bericht.
Das Threat Intelligence Team von Palo Alto Networks hat nach eigenen Angaben die Scans von sieben Herstellern medizinischer Geräte erhalten. Darüber hinaus waren 52,11 % aller gescannten Infusionspumpen anfällig für zwei bekannte Schwachstellen, die 2019 als Teil von 11 Schwachstellen mit der Bezeichnung „URGENT/11“ bekannt gegeben wurden –
CVE-2019-12255 (CVSS-Score: 9.8) – Ein Pufferüberlauf in der TCP-Komponente von Wind River VxWorks
CVE-2019-12255 (CVSS-Score: 9.8) – Ein Pufferüberlauf in der TCP-Komponente von Wind River VxWorks CVE-2019-12264 (CVSS-Score: 7.1) – Ein Problem mit fehlerhafter Zugriffskontrolle in der DHCP-Client-Komponente von Wind River VxWorks
Weitere wichtige Schwachstellen, die sich auf Infusionspumpen auswirken, sind im Folgenden aufgeführt.
CVE-2016-9355 (CVSS-Score: 5.3) – Ein unbefugter Benutzer mit physischem Zugriff auf ein Alaris 8015 Point of Care-Gerät kann das Gerät möglicherweise zerlegen, um auf den austauschbaren Flash-Speicher zuzugreifen, was Lese- und Schreibzugriff auf den Gerätespeicher ermöglicht.
(CVSS-Score: 5.3) – Ein unbefugter Benutzer mit physischem Zugriff auf ein Alaris 8015 Point of Care-Gerät kann das Gerät möglicherweise zerlegen, um auf den austauschbaren Flash-Speicher zuzugreifen, was einen Lese- und Schreibzugriff auf den Gerätespeicher ermöglicht CVE-2016-8375 (CVSS-Score: 4.9) – Ein Fehler in der Verwaltung von Anmeldeinformationen in Alaris 8015 Point of Care-Geräten, der ausgenutzt werden kann, um unverschlüsselte Anmeldeinformationen für drahtlose Netzwerke und andere sensible technische Daten zu erhalten
(CVSS-Score: 4.9) – Ein Fehler bei der Verwaltung von Anmeldeinformationen in Alaris 8015 Point of Care-Geräten, der ausgenutzt werden kann, um unverschlüsselte Anmeldeinformationen für drahtlose Netzwerke und andere sensible technische Daten zu erlangen CVE-2020-25165 (CVSS-Score: 7.5) – Eine Schwachstelle bei der Sitzungsauthentifizierung in Alaris 8015 Point of Care-Geräten, die missbraucht werden kann, um einen Denial-of-Service-Angriff auf die Geräte durchzuführen
(CVSS-Score: 7.5) – Eine Schwachstelle in der Sitzungsauthentifizierung in Alaris 8015 Point of Care-Geräten, die für einen Denial-of-Service-Angriff auf die Geräte missbraucht werden kann CVE-2020-12040 (CVSS-Score: 9.8) – Klartextübertragung sensibler Daten im Sigma Spectrum Infusionssystem
(CVSS-Score: 9.8) – Klartextübertragung sensibler Daten im Sigma Spectrum Infusion System CVE-2020-12047 (CVSS-Score: 9.8) – Verwendung von festcodierten FTP-Anmeldeinformationen im Baxter Spectrum WBM
(CVSS-Score: 9.8) – Verwendung von fest codierten FTP-Anmeldeinformationen in Baxter Spectrum WBM CVE-2020-12045 (CVSS-Score: 9.8) – Verwendung von fest codierten Telnet-Anmeldeinformationen in Baxter Spectrum WBM
(CVSS-Score: 9.8) – Verwendung von fest kodierten Telnet-Anmeldeinformationen in Baxter Spectrum WBM CVE-2020-12043 (CVSS-Score: 9.8) – Der FTP-Dienst von Baxter Spectrum WBM bleibt nach der erwarteten Ablaufzeit in Betrieb, bis er neu gestartet wird
(CVSS-Score: 9.8) – Der FTP-Dienst des Baxter Spectrum WBM bleibt nach Ablauf der erwarteten Zeit bis zum Neustart betriebsbereit CVE-2020-12041 (CVSS-Score: 9.8) – Das Wireless Battery Module (WBM) von Baxter Spectrum ermöglicht die Datenübertragung und Befehlszeilenschnittstellen über Telnet
Wenn die oben genannten Schwachstellen erfolgreich ausgenutzt werden, könnten sensible Patientendaten in die falschen Hände geraten und Angreifer könnten sich unbefugten Zugang zu den Geräten verschaffen.
Letztes Jahr hat McAfee Sicherheitslücken in der Infusomat Space Large Volume Pump und der SpaceStation von B. Braun aufgedeckt, die von böswilligen Personen ausgenutzt werden können, um die Medikamentendosierung ohne vorherige Authentifizierung zu manipulieren.
Die Entdeckung „unterstreicht die Notwendigkeit für die Gesundheitsbranche, ihre Anstrengungen zum Schutz vor bekannten Schwachstellen zu verdoppeln und gleichzeitig die besten Praktiken für Infusionspumpen und Krankenhausnetzwerke sorgfältig zu befolgen“, so Das.