75% медицинских инфузионных насосов содержат уязвимости

Команда специалистов Unit 42 компании Palo Alto Networks провела исследование того, насколько хорошо больницы и другие поставщики медицинских услуг справляются с обеспечением безопасности «умных» инфузионных насосов, доставляющих лекарства и жидкости пациентам.

Эксперты проанализировали краудсорсинговые данные сканирования более 200 тыс. инфузионных насосов в сетях больниц и других организаций здравоохранения. Как оказалось, 75% просканированных инфузионных насосов содержали уязвимости, из-за чего подвергались повышенному риску взлома злоумышленниками.

Кроме того 52% проверенных инфузионных насосов содержали две уязвимости, обнаруженные в 2019 году — одну критическую и одну опасную.

Существуют промышленные и правительственные инициативы, направленные на стандартизацию информации об устройствах и установление базовых критериев безопасности для производства подобных девайсов. Тем не менее средний срок службы инфузионного насоса составляет от восьми до десяти лет, а это означает, что широкое использование устаревшего оборудования препятствует усилиям по повышению безопасности. Другие факторы также продолжают подрывать общую кибербезопасность, в том числе недостаточное использование сегментации сети, неспособность внедрить передовой опыт для обеспечения безопасности операционных процессов и недостаточная подготовка медицинских работников по вопросам безопасности.

Инфузионные насосы могут исчисляться тысячами в крупных больницах или клиниках, и их отзыв, будь то из-за механической неисправности или уязвимости в системе кибербезопасности, может стать источником беспокойства для менеджеров цепочки поставок, клинических инженеров и IT-специалистов.

Устройства, находящиеся под угрозой, должны быть идентифицированы, обнаружены и изъяты или отремонтированы в соответствии с инструкциями данного отзыва. Недосмотр или упущение в любой из этих областей — будь то ремонт, техническое обслуживание, установка исправлений или обновлений программного обеспечения — может поставить под угрозу жизнь пациентов или конфиденциальную информацию.

Эксперты выделили 10 наиболее распространенных уязвимостей в инфузионных насосах по результатам анализа данных сканирования: CVE-2019-12255 , CVE-2019-12264 , CVE-2016-9355, CVE-2016-8375, CVE-2020-25165 , CVE-2020-12040, CVE-2020-12047, CVE-2020-12045, CVE-2020-12043 и CVE-2020-12041.

Большое количество уязвимостей в системах инфузионных насосов и в медицинских IoT-устройствах связаны с утечкой конфиденциальной информации. Например, уязвимость CVE-2020-12040 может быть использована злоумышленником удаленно с помощью MitM-атаки для получения доступа ко всей информации о связи между инфузионным насосом и сервером. С другой стороны, CVE-2016-9355 и CVE-2016-8375 могут быть использованы кем-либо с физическим доступом к инфузионному насосу, для получения доступа к конфиденциальной информаци.

Многие устройства IoMT (и IoT) и их операционные системы используют сторонние кроссплатформенные библиотеки, такие как сетевые стеки, которые могут иметь уязвимости, затрагивающие рассматриваемое устройство. Например, для CVE-2019-12255 и CVE 2019-12264 уязвимый стек TCP/IP IPNet является компонентом ОС ENEA инфузионных насосов Alaris, что делает устройства уязвимыми.