In den mit dem Internet verbundenen Infusionspumpen von Baxter, die von medizinischem Fachpersonal in klinischen Umgebungen zur Abgabe von Medikamenten an Patienten verwendet werden, wurden mehrere Sicherheitslücken aufgedeckt.
„Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) erklärte in einer koordinierten Mitteilung: „Wenn diese Schwachstellen erfolgreich ausgenutzt werden, könnte dies zum Zugriff auf sensible Daten und zur Änderung der Systemkonfiguration führen.
Infusionspumpen sind internetfähige Geräte, die in Krankenhäusern eingesetzt werden, um Medikamente und Nährstoffe direkt in den Blutkreislauf des Patienten zu leiten.
Die vier fraglichen Schwachstellen, die von der Cybersecurity-Firma Rapid7 entdeckt und im April 2022 an Baxter gemeldet wurden, betreffen die folgenden Sigma Spectrum Infusionssysteme –
Sigma Spectrum v6.x Modell 35700BAX
Sigma Spectrum v8.x Modell 35700BAX2
Baxter Spectrum IQ (v9.x) Modell 35700BAX3
Sigma Spectrum LVP v6.x Drahtlose Batteriemodule v16, v16D38, v17, v17D19, v20D29 bis v20D32, und v22D24 bis v22D28
Sigma Spectrum LVP v8.x Drahtlose Batteriemodule v17, v17D19, v20D29 bis v20D32, und v22D24 bis v22D28
Baxter Spectrum IQ LVP (v9.x) mit drahtlosen Batteriemodulen v22D19 bis v22D28
Die Liste der aufgedeckten Schwachstellen findest du unten –
CVE-2022-26390 (CVSS-Score: 4.2) – Speicherung von Netzwerkanmeldeinformationen und Gesundheitsdaten von Patienten (PHI) in unverschlüsseltem Format
(CVE-2022-26392 (CVSS-Score: 2.1) – Eine Format-String-Schwachstelle beim Ausführen einer Telnet-Sitzung
CVE-2022-26393 (CVSS-Score: 5.0) – Eine Format-String-Schwachstelle beim Ausführen einer Telnet-Sitzung CVE-2022-26393 (CVSS-Score: 5.0) – Eine Format-String-Schwachstelle bei der Verarbeitung von Wi-Fi SSID-Informationen und
(CVE-2022-26394 (CVSS-Score: 5.5) – Fehlende gegenseitige Authentifizierung mit dem Gateway-Server-Host
Wenn die oben genannten Schwachstellen erfolgreich ausgenutzt werden, kann dies zu einem Denial-of-Service (DoS) führen oder es einem Angreifer mit physischem Zugriff auf das Gerät ermöglichen, vertrauliche Informationen auszuspionieren oder alternativ einen Adversary-in-the-Middle-Angriff durchzuführen.
Die Schwachstellen könnten außerdem dazu führen, dass „wichtige Wi-Fi-Passwortdaten verloren gehen, was zu einem größeren Netzwerkzugang führen könnte, wenn das Netzwerk nicht richtig segmentiert ist“, so Deral Heiland, leitender Sicherheitsforscher für IoT bei Rapid7, gegenüber The Hacker News.
Baxter betonte in einer Mitteilung, dass die Probleme nur Kunden betreffen, die die drahtlosen Funktionen des Spectrum Infusion Systems nutzen, warnte aber auch davor, dass es zu einer Verzögerung oder Unterbrechung der Therapie kommen könnte, sollten die Schwachstellen als Waffe eingesetzt werden.
„Wenn die Schwachstellen ausgenutzt werden, könnten sie zu einer Unterbrechung des Betriebs [des drahtlosen Batteriemoduls], zur Trennung des WBM vom drahtlosen Netzwerk, zur Änderung der WBM-Konfiguration oder zur Offenlegung der auf dem WBM gespeicherten Daten führen“, so das Unternehmen.
Die neuesten Erkenntnisse sind ein weiteres Indiz dafür, wie weit verbreitet Software-Schwachstellen in der Medizinbranche sind – eine besorgniserregende Entwicklung angesichts ihrer potenziellen Auswirkungen auf die Patientenversorgung.
Es ist allerdings nicht das erste Mal, dass Sicherheitslücken in Infusionspumpen auf dem Prüfstand stehen. Anfang März dieses Jahres hat Palo Alto Networks Unit 42 bekannt gegeben, dass die überwältigende Mehrheit der Infusionspumpen mit fast 40 bekannten Schwachstellen behaftet ist, was die Notwendigkeit unterstreicht, Gesundheitssysteme vor Sicherheitsbedrohungen zu schützen.
Baxter empfiehlt seinen Kunden, dafür zu sorgen, dass alle Daten und Einstellungen von ausgemusterten Pumpen gelöscht werden, Infusionssysteme hinter einer Firewall zu platzieren, eine Netzwerksegmentierung durchzusetzen und starke Sicherheitsprotokolle für drahtlose Netzwerke zu verwenden, um unbefugten Zugriff zu verhindern.
Es ist von entscheidender Bedeutung, „Prozesse und Verfahren zu implementieren, um den Rückkauf von Medizintechnik zu verwalten und sicherzustellen, dass PII und/oder Konfigurationsdaten wie Wi-Fi, WPA, PSK usw. vor dem Weiterverkauf oder der Übergabe an eine andere Partei von den Geräten gelöscht werden“, so Heiland.
„Achte auf strenge physische Sicherheitsvorkehrungen in und um medizinische Bereiche mit MedTech-Geräten sowie in Bereichen mit Zugang zu einem biomedizinischen Netzwerk. Implementiere eine Netzwerksegmentierung für alle biomedizinischen Netzwerke, um zu verhindern, dass andere allgemeine oder geschäftliche Netzwerke mit MedTech-Geräten kommunizieren.