Philips izpētīs PageWriter kardiogrāfu ierīču ievainojamību 2019. gada vidū

Philips kardiogrāfa ierīce. Absolūtais medicīniskais aprīkojums

Philips ir pazīstams ar augstas klases un efektīvu PageWriter Cardiograph ierīču ražošanu. Pēc nesenā kiberdrošības ievainojamības atklāšanas savās ierīcēs, kas ļauj uzbrucējiem mainīt ierīču iestatījumus, lai ietekmētu diagnozi, Philips ICS-CERT paziņoja konsultatīvs ka tā plāno izpētīt šīs ievainojamības tikai 2019. gada vasarā.

Philips PageWriter Cardiograph ierīces uztver signālus, izmantojot ķermenim piestiprinātus sensorus, un šos datus izmanto, lai izveidotu EKG modeļus un diagrammas, ar kurām ārsts pēc tam varēs konsultēties, lai noslēgtu diagnozi. Šim procesam pašam nevajadzētu traucēt, lai nodrošinātu veikto mērījumu un attēloto grafiku integritāti, taču šķiet, ka manipulatori spēj šos datus ietekmēt manuāli.

Neaizsargātība pastāv Philips PageWriter modeļos TC10, TC20, TC30, TC50 un TC70. Neaizsargātības rodas no tā, ka ieejas informāciju var manuāli ievadīt un saskarnē kodēt, kā rezultātā ievada nepareizi, jo ierīces sistēma nepārbauda un nefiltrē nevienu ievadīto informāciju. Tas nozīmē, ka ierīces rezultāti ir tieši korelēti ar to, ko lietotāji tajos ievieto manuāli, ļaujot veikt nepareizu un neefektīvu diagnostiku. Datu attīrīšanas trūkums tieši veicina bufera pārpildes un formātu virkņu ievainojamības iespēju.

Papildus šai datu kļūdu izmantošanas iespējai spēja kodēt datus saskarnē dod iespēju arī akreditācijas datu cietajai kodēšanai. Tas nozīmē, ka jebkurš uzbrucējs, kurš zina ierīces paroli un fiziski ir pie rokas, var mainīt ierīces iestatījumus, izraisot nepareizu diagnostiku, izmantojot ierīci.

Neskatoties uz uzņēmuma lēmumu līdz nākamā gada vasarai neizskatīt šīs ievainojamības, publicētais padomdevējs ir piedāvājis dažus padomus šo ievainojamību mazināšanai. Galvenās vadlīnijas tam ir par ierīces fizisko drošību: nodrošinot, ka ļaunprātīgi uzbrucēji nespēj fiziski piekļūt ierīcei vai ar to manipulēt. Papildus tam klīnikām ieteicams sākt komponentu aizsardzību savās sistēmās, ierobežojot un regulējot to, kam var piekļūt ierīcēs.