Les défauts de l’outil de défibrillateur présentent un risque de prise de contrôle de compte pour les hôpitaux

  • FrançaisFrançais



  • Une infirmière s’occupe d’un patient dans l’unité de soins intensifs du Regional Medical Center le 21 mai 2020 à San Jose, Californie. (Photo de Justin Sullivan/Getty Images)

    Selon une alerte de la Department of Homeland Security Cybersecurity and Infrastructure Security Agency, plusieurs vulnérabilités d’exécution de code à distance trouvées dans le tableau de bord du défibrillateur ZOLL pourraient permettre à un pirate informatique de prendre le contrôle du système concerné.

    Le tableau de bord est conçu pour les départements de génie biomédical au sein de l’environnement hospitalier. L’outil fournit une gestion rationalisée des défibrillateurs, offrant aux administrateurs une surveillance en temps réel des appareils dans l’environnement de l’entreprise et sur plusieurs sites.

    La demi-douzaine de défauts se retrouvent dans toutes les versions du tableau de bord antérieures à la 2.2. Son exploitation nécessiterait un niveau de compétence faible et pourrait permettre à un attaquant d’accéder aux informations d’identification ou d’avoir un impact sur la confidentialité, l’intégrité et la disponibilité de l’application.

    L’une des failles, dont le CISA a averti qu’elle présente une forte probabilité d’exploit, est l’utilisation par le tableau de bord de clés cryptographiques codées en dur qui « augmente considérablement la possibilité que les données cryptées puissent être récupérées » par un attaquant.

    “Si des clés cryptographiques codées en dur sont utilisées, il est presque certain que des utilisateurs malveillants y accéderont via le compte en question”, selon l’alerte. « La clé cryptographique se trouve dans une valeur de chaîne codée en dur qui est comparée au mot de passe. Il est probable qu’un attaquant sera en mesure de lire la clé et de compromettre le système.

    “La principale différence entre l’utilisation de mots de passe codés en dur et l’utilisation de clés cryptographiques codées en dur est le faux sentiment de sécurité que le premier véhicule”, a-t-il ajouté.

    Bien que nombreux soient ceux qui pensent que le hachage des mots de passe codés en dur avant le stockage protège les données des adversaires, les chercheurs ont expliqué que de nombreux hachages sont réversibles ou vulnérables aux attaques par force brute.

    De plus, de nombreux protocoles d’authentification demanderont simplement le hachage lui-même, “ce qui ne le rend pas meilleur qu’un mot de passe”.

    Si un attaquant accède au système, il pourrait lire des informations sensibles en raison d’une autre vulnérabilité qui stocke les données du système en clair. La faille maintient également l’ID de compte dans un cookie de navigateur en texte brut, ce qui augmente le risque d’exposition si un appareil est compromis.

    L’alerte avertit que même si l’appareil n’est pas compromis, un attaquant pourrait copier à distance le cookie en combinant la vulnérabilité avec une faille de script inter-sites. Le tableau de bord ne parvient pas non plus à chiffrer les données avant de les écrire dans un tampon, ce qui pourrait exposer les données à des acteurs non autorisés.

    Le tableau de bord présente plusieurs autres défauts avec une forte probabilité d’exploit, notamment le stockage des mots de passe dans un format récupérable et la neutralisation incorrecte ou incorrecte des entrées contrôlables par l’utilisateur avant qu’elles ne soient placées dans une sortie de page Web destinée à servir d’autres utilisateurs.

    Pendant ce temps, le logiciel ne parvient pas à attribuer, modifier, suivre ou vérifier correctement les privilèges des utilisateurs, “créant une sphère de contrôle involontaire”. Une autre faille pourrait permettre à un attaquant de télécharger et de transférer des fichiers de types dangereux, que la plateforme traiterait automatiquement au sein de son environnement.

    CISA exhorte tous les administrateurs concernés à revoir l’avis médical et à appliquer les mesures d’atténuation recommandées, y compris la mise à jour du logiciel vers la dernière version.

    Zoll recommande aux entités utilisant les versions concernées de savoir que le défibrillateur doit être considéré comme une source de données précises, s’il semble y avoir un écart dans le tableau de bord.

    En outre, les administrateurs doivent également effectuer des vérifications fréquentes pour confirmer l’état de préparation de l’appareil, comme indiqué dans le manuel d’utilisation. La fonction de saisie semi-automatique du mot de passe doit être désactivée dans les navigateurs utilisés pour accéder au tableau de bord du défibrillateur.

    La CISA a également émis plusieurs recommandations et souligné que les administrateurs devraient prendre des mesures défensives pour réduire le risque posé par les vulnérabilités des appareils, telles que minimiser l’exposition du réseau, s’assurer que les appareils ne sont pas accessibles depuis Internet et garder les appareils distants derrière des pare-feu.

    Dans les soins de santé, où la gestion des correctifs continue d’être un défi pour la plupart des fournisseurs, les administrateurs doivent tirer parti des conseils du NIST sur les attaques d’intégrité des données. Bien qu’elles ne soient pas spécifiques aux processus de correction, les informations prennent en charge une visibilité accrue du réseau pour identifier les menaces et protéger les actifs vulnérables via la segmentation du réseau et d’autres facteurs d’atténuation.

    Source

    Laisser un commentaire

    Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *