Podatność w kardiomonitorach stosowanych w polskiej ochronie zdrowia | Centrum e-Zdrowia

Infolinia CeZ 24h/7   19 239

Tłumacz PJM

Unia Europejska Flaga Unii Europejskiej

Centrum e-Zdrowie

Podatność w kardiomonitorach stosowanych w polskiej ochronie zdrowia

Amerykańska agencja cyberbezpieczeństwa CISA oraz niezależni eksperci zidentyfikowali poważny błąd konfiguracyjny, który może zostać wykorzystany jako backdoor (tj. umożliwiać nieautoryzowane operacje) w znanych i stosowanych m.in. w Polsce kardiomonitorach. Obecność tej nieprawidłowej konfiguracji potwierdzono w wersjach 2.0.6, 2.0.8 oraz w jednej wersji o nieprzyznanym numerze.
 

Wszelkie opisane poniżej działania należy podejmować zgodnie z ustalonymi procedurami, priorytetowo traktując bezpieczeństwo, zdrowie i życie pacjentów.

Jakich urządzeń dotyczy podatność

  • Contec CMS8000 
  • Epsimed MN-120 (przebrandowane urządzenie Contec CMS8000)

Czym są wymienione urządzenia

Monitor firmy Contec CMS8000 firmy Contec Medical Systems to kardiomonitor o wielu funkcjonalnościach, przeznaczony do obserwacji parametrów życiowych pacjentów: dorosłych, dzieci oraz noworodków. Użytkownicy mogą konfigurować monitorowane parametry w zależności od różnych potrzeb medycznych.

Jakie ryzyka powoduje odkryty błąd konfiguracyjny

  1. Dostęp zdalny na uprawnieniach administratora do urządzania. 
    • kontrolę parametrów urządzenia,
    • dostęp do danych,
    • możliwość atakowania infrastruktury sieciowej.
  2. Wyciek danych osobowych i medycznych.


Oznaki naruszenia bezpieczeństwa (IoC)

  • Urządzenie wykorzystuje m.in. port 515 i protokół LPD do potencjalnego ekstrahowania danych poza organizację. 
  • Urządzenie za pomocą wbudowanego polecenia montuje zdalny folder /pm/mnt z serwera NFS, za pomocą którego kopiuje pliki na lokalny system kardiomonitora, które uruchamiane są z pełnymi uprawnieniami administratora, z adresu IP: 202.114.4.119.  

Jak należy postępować

  • Należy zweryfikować czy urządzenia wykorzystane są do zdalnego monitorowania poprzez internet.
  • Jeśli urządzenia są wykorzystywane do monitorowania stanu zdrowia bez konieczności użycia sieci lokalnej oraz internetu, należy wypiąć kabel ethernetowy z urządzenia oraz wyłączyć moduł Wi-Fi i komunikację poprzez sieć komórkową.  
  • Jeśli urządzenia są używane do monitorowania pacjentów w ramach wewnętrznej infrastruktury sieciowej, należy przeanalizować ruch sieciowy i odseparować te urządzenia od internetu.
  • Należy monitorować urządzenia pod względem anomalii w działaniu lub błędów w wyświetlanych danych.
  • Blokada adresu IP: 202.114.4.119 na poziomie Firewalla