不安全的配置使GE Healthcare设备受到攻击

这六个高风险漏洞是由远程访问软件中的硬编码或没有凭据以及使用过时的应用程序引起的。

具有eththcare IoT的医疗网络/医院连接和通信
MetamorWorks /盖蒂图片社

研究人员发现,GE Healthcare生产的几种患者监控设备和服务器中存在的远程访问和管理功能配置不安全,这些设备在全球的诊所和医院中使用。确定的问题包括使用共享的硬编码凭据或根本没有凭据用于远程管理功能,以及使用具有已知漏洞的过时应用程序。

这些类型的问题困扰着嵌入式设备很多年了,这是旧产品设计实践的结果,该实践更多地侧重于可用性和远程支持的简便性而不是安全性。

重复使用的硬编码凭证

一家专注于医疗行业服务的网络安全公司Cyber​​MDX的研究人员在GE Healthcare产品中发现了六个高风险漏洞,这些漏洞被他们统称为MDhex。他们的调查始于CIC Pro临床信息中心,该工作站是护士和护理人员用来同时监视多名患者的实时波形和重要信息,查看历史和人口统计数据以及管理患者警报的工作站。

CIC Pro工作站连接到GE用于医疗设施的实时监控网络CARESCAPE,因此它们可以与网络上的其他设备(包括遥测服务器和床头监控器)进行交互并显示数据。

Cyber​​MDX发现的第一个漏洞包括所有CIC Pro设备随附的SSH服务器中的硬编码私钥。 GE的CARESCAPE中央站(CSCS)和Apex遥测服务器的SSH配置中也存在相同的密钥。通过提取此私钥,攻击者可以通过SSH远程访问任何受影响的设备并在其上执行流氓命令,此举会影响其所拥有数据的可用性和机密性。

SSH的基于密钥的身份验证功能依赖于公共密钥加密。服务器包含属于允许连接的用户的公共密钥的列表,并且这些用户需要在其客户端配置中拥有其对应的私有密钥。如果将其用作仅GE Healthcare可以使用的管理功能,则应很好地保护私有密钥,并且永远不要公开。 Cyber​​MDX研究人员在一份声明中说:“最佳实践要求这些密钥必须由供应商保存,而不是将其散布到流通的设备中。” 他们的咨询.

SSH错误配置漏洞被跟踪为CVE-2020-6961,并影响CIC Pro软件版本4.x和5.x,CSCS软件版本1.x和Apex Telemetry Server版本4.2及更低版本。

跟踪为CVE-2020-6963的第二个漏洞也涉及硬编码凭据的使用,但是这次是服务器消息块(SMB)文件共享协议。利用此弱点,攻击者就可以对系统上的所有文件进行读写访问,并会影响CIC版本4.x和5.x,CSCS版本1.x,Apex Telemetry Server版本4.2和更早版本以及CARESCAPE Telemetry Server版本4.3和较早。

研究人员说:“可以通过在受影响的设备的Windows XP Embedded操作系统上执行密码恢复来获得此漏洞的凭据。” “一旦获得了这些凭据,其他设备就很容易遭到破坏。”

第三个漏洞CVE-2020-6966是由于在整个产品线中共享的,用于虚拟网络计算(VNC)的硬编码凭据而产生的,这是CIC软件版本4.x和5.x(CSCS版本)提供的远程桌面协议功能1.x,Apex Telemetry Server 4.2或更早版本以及CARESCAPE Telemetry Server 4.3或更早版本。研究人员说,不仅可以从软件轻松获得这些VNC凭据,而且可以在产品文档中公开获得它们。

这些设备上还存在Kavoom KM MultiMouse软件,这是另一个漏洞CVE-2020-6964,它使用户可以使用相同的物理键盘和鼠标来控制多个工作站。使用此功能根本不需要任何凭据,并且使潜在的攻击者可以指挥设备并更改其设置和数据。它会影响与先前漏洞相同的设备。

过时的软件和不安全的更新

第五个漏洞CVE-2020-6962是由设备软件中包含的Webmin版本过旧导致的。 Webmin是用于系统管理的基于Web的界面,允许用户执行各种任务,包括修改各种服务(包括防火墙)的设置,添加和删除用户或执行命令。

受影响的GE Healthcare设备随附的Webmin版本为1.2.5版,并于2005年11月发布。 一长串漏洞 从那时起,已经在Webmin中找到并对其进行了修补。除了CIC,CSCS,Apex遥测服务器和CARESCAPE遥测服务器之外,B450和B650 / B850患者监护仪也受到影响。

最后,上述所有设备均具有不安全的软件更新机制,该机制将接受向其提供的任何传入更新,或者将需要第一个漏洞暴露的共享SSH密钥。研究人员说:“结果是处于重大妥协状态,可以执行欺诈性更新以耗尽驱动器资源或安装恶意软件。”

Mdhex缓解措施 

Cyber​​MDX研究人员建议客户使用防火墙来阻止对受影响服务使用的端口的访问:SSH为22端口,SMB为445和137,MultiMouse / Kavoom KM为5225,VNC为5800和5900,Webmin为10000和10001为GE更新器。但是,实际上,只有在这种端口过滤不会严重影响设备的正常运行和预期使用的情况下,才可以这样做。

Cyber​​MDX研究主管Elad Luz告诉CSO,SSH,GE更新管理器,Webmin和SMB由供应商管理,维护和更新,而VNC和MultiMouse由客户处理以帮助进行监视。

GE Healthcare发言人表示,该公司已指示客户遵循网络管理最佳实践,并正在开发补丁程序以解决这些问题。到目前为止,该公司尚未意识到在临床情况下对这些问题的任何利用。

发言人在一封电子邮件声明中说:“对于本公开中包含的产品,已提供安全建议,以确保隔离的网络和产品的安全性按预期运行。” “通过适当配置和隔离的网络可以缓解所披露的安全漏洞。尽管提供给客户的说明可以充分缓解风险,但我们正在开发包括其他安全增强功能的软件更新/补丁,这些更新/补丁将于2020年第二季度面世。客户可以访问 GE Healthcare的安全网站 接收最新信息。”

Cyber​​MDX已与美国网络安全与基础设施安全局(CISA)和GE Healthcare合作,协调漏洞披露。该机构发布 自己的咨询 今天。

访问控制薄弱的医疗设备

Luz认为,硬编码凭证和弱访问控制的问题在医疗设备领域十分普遍。实际上,医疗设备的普遍问题是“缺乏身份验证,这意味着根本没有凭据”,他说。

由于缺乏设计上的基本安全性,医疗设备遭受大量拒绝服务攻击,这些攻击可能会影响其可用性,数据和功能操纵甚至勒索软件攻击,因为许多设备都运行Windows。鉴于这些设备在医院和诊所中的重要性,破坏其正常运行的攻击可能会影响患者的健康。

版权© 2020 IDG通讯,Inc.