Une vulnérabilité identifiée dans les appareils d'anesthésie GE Aestiva et Aespire

Une vulnérabilité a été découverte sur des machines à anesthésie produites par GE Healthcare par les chercheurs de CyberMDX, une compagnie de cybersécurité spécialisée dans le domaine de la santé.

Les modèles de machine GE Aestiva et Aespire (modèle 7100 et 7900) souffrent d’une absence de mécanisme d’authentification (CVE-2019-10966) qui, s’ils sont connectés sur un réseau TCP/IP via un matériel non-sécurisé, permet à un attaquant de prendre le contrôle à distance.

Une fois le matériel corrompu par un attaquant, ce dernier peut modifier les paramétrages et le comportement de la machine. Il peut notamment modifier la composition des gaz anesthésiants (augmentation ou diminution des niveaux de CO2, N2O, O2, etc.), supprimer les différentes alertes et modifier la trace d’audit (modification des heures déclarées dans les traces, etc.).

Informations
+

Risques

  • Exécution de code arbitraire

Criticité

  • Score CVSS : 5.3

Existence d’un code d’exploitation de la vulnérabilité

  • Aucun code d’exploitation n’a été rendu public pour le moment.

Composants & versions vulnérables

  • GE Aestiva 7100
  • GE Aespire 7100
  • GE Aestiva 7900
  • GE Aespire 7900

CVE


Recommandations
+

Mise en place de correctif de sécurité

  • GE Healthcare ne prévoit pas la publication de correctif à ce stade. GE Healthcare souligne que les modèles vendus après 2009 ne sont pas vulnérables à une modification de la composition des gaz à distance.

Solution de contournement

  • GE Healthcare recommande aux organisations d'utiliser des terminaux sécurisés lorsqu'elles choisissent de connecter les ports série des appareils d'anesthésie GE Healthcare aux réseaux TCP/IP.
  • Les terminaux sécurisés doivent être correctement configurés et fournir :
    • Un chiffrement robuste des données sur le disque ;
    • Un mécanisme de VPN pour les accès distants ;
    • Un mécanisme d’authentification pour les utilisateurs ayant un accès physique à la machine ;
    • Des mécanismes de contrôle réseau ;
    • Des mécanismes de journalisation des actions ;
    • Des options de configuration et de gestion sécurisées des périphériques externes.
  • GE Healthcare recommande que les organisations utilisent les meilleures pratiques sécurité pour les terminaux qui incluent des mesures de gouvernance, de gestion et de déploiement sécurisés telles que la segmentation du réseau, les VLANs et l'isolation des périphériques pour améliorer les mesures de sécurité existantes.

 

Selon les bonnes pratiques en matière de sécurité, il est nécessaire d’effectuer une analyse de risques avant de connecter un équipement à un réseau d’entreprise. Un équipement n’ayant pas vocation à être connecté à un réseau devra, autant que possible, rester isolé du réseau afin d’assurer sa sécurité.