Titingnan ng Philips ang PageWriter Cardiograph Device Vulnerencies Mid 2019

Device ng Philips Cardiograph. Ganap na Kagamitan sa Medikal

Kilala ang Philips sa paggawa ng mga high end at mahusay na aparatong PageWriter Cardiograph. Matapos ang kamakailang pagtuklas ng mga kahinaan sa seguridad ng cyber sa mga aparato nito na nagpapahintulot sa mga magsasalakay na baguhin ang mga setting ng mga aparato upang makaapekto sa diagnosis, dumating ang Philips na nagsabi sa isang ICS-CERT payo na hindi nilayon nitong tingnan ang mga kahinaan hanggang sa tag-araw ng 2019.

Ang mga aparato ng Philips PageWriter Cardiograph ay kumukuha ng mga signal sa pamamagitan ng mga sensor na nakakabit sa katawan at ginagamit ang data na ito upang lumikha ng mga pattern at diagram ng ECG na pagkatapos ay makakonsulta ang manggagamot upang tapusin ang isang pagsusuri. Ang prosesong ito ay hindi dapat magkaroon ng anumang pagkagambala sa kanyang sarili upang matiyak ang integridad ng mga pagsukat na kinuha at inilalarawan ang mga graph, ngunit tila ang mga manipulator ay maaaring maka-impluwensya nang manu-mano ang data na ito.

Ang mga kahinaan ay mayroon sa mga modelo ng Philips 'PageWriterTC10, TC20, TC30, TC50, at TC70. Ang mga kahinaan ay bumangon mula sa ang katunayan na ang impormasyon sa pag-input ay maaaring manu-manong naipasok at matigas na naka-code sa interface na nagreresulta sa hindi tamang input dahil ang system ng aparato ay hindi nagpapatunay o nag-filter ng anumang data na ipinasok. Nangangahulugan ito na ang mga resulta mula sa aparato ay direktang naiugnay sa kung anong manu-manong inilagay ng mga gumagamit sa kanila na pinapayagan ang hindi tama at hindi mabisang pagsusuri. Ang kawalan ng sanitization ng data ay direktang nag-aambag patungo sa posibilidad ng overflow ng buffer at pag-format ng mga kahinaan sa string.

Bilang karagdagan sa error na ito sa data na pagsamantalahan ang posibilidad, ang kakayahang data ng hard code sa interface ay nagpapahiram mismo sa hard coding ng mga kredensyal. Nangangahulugan ito na ang sinumang mang-atake na nakakaalam ng password ng aparato at mayroong pisikal na aparato sa kamay ay maaaring baguhin ang mga setting ng aparato na sanhi ng hindi tamang pagsusuri sa paggamit ng aparato.

Sa kabila ng desisyon ng kumpanya na huwag tingnan ang mga kahinaan na ito hanggang sa tag-araw ng susunod na taon, ang nai-publish na payo ay nag-alok ng ilang mga payo para sa pagpapagaan ng mga kahinaan na ito. Ang mga pangunahing alituntunin para dito ay umiikot sa pisikal na seguridad ng aparato: tinitiyak na ang mga nakakahamak na umaatake ay hindi magawang i-access o manipulahin ang aparato. Bilang karagdagan dito, pinapayuhan ang mga klinika na simulan ang proteksyon ng sangkap sa kanilang mga system, paghihigpit at pagsasaayos ng kung ano ang maaaring ma-access sa mga aparato.