Scoperta una falla di sicurezza in una nota pompa infusionale

I ricercatori hanno rilevato due vulnerabilità di sicurezza, una delle quali grave, nelle pompe per infusione Becton Dickson (BD). Si tratta di dispositivi, utilizzati negli ospedali, per fornire alimentazione e connettività di rete a più pompe di infusione che trasportano fluidi, inclusi liquidi per via endovenosa, antidolorifici e farmaci come l’insulina .

Tali pompe sono spesso collegate a una stazione di monitoraggio centrale in modo che il personale ospedaliero possa controllare più pazienti contemporaneamente.

Le vulnerabilità, nell’Alaris Gateway Workstation (AGW) di BD, sono state scoperte dalla Cybersecurity CyberMDX nel settembre 2018. I ricercatori dell’azienda hanno riferito che uno dei buchi di sicurezza – il più critico, secondo un avviso rilasciato dal Dipartimento di Homeland Security (DHS), potrebbe consentire il controllo remoto dei dispositivi.

I ricercatori hanno riportato che l’exploit potrebbe essere messo in atto da …

… chiunque abbia accesso alla rete interna dell’ospedale. I file trasferiti tramite l’aggiornamento vengono copiati direttamente nella memoria interna e autorizzati a sovrascrivere i file esistenti.

La parte vulnerabile dei dispositivi è il firmware del computer di bordo, che alimenta, monitora e controlla le pompe di infusione. Queste ultime utilizzano Windows CE, il sistema operativo Microsoft per dispositivi e device embedded con memoria minima. Oggi quel sistema operativo è noto come Windows Embedded Compact.

Nessun exploit fino ad oggi

La scorsa settimana, Becton Dickson ha dichiarato in un avviso che non sono stati segnalati exploit della vulnerabilità critica.

Né hanno avuto effetti sull’ultima versione del firmware 1.3.2 o sulla versione 1.6.1. Solo le versioni più vecchie del software per 2.3.6 – rilasciato nel 2006 – e le seguenti sono interessate, secondo quanto riferito dalla società.

Il lato positivo

Inoltre, il lato positivo è il fatto che sfruttare le criticità più importanti delle due vulnerabilità richiede una buona dose di know-how, come evidenziato da BD in un bollettino sulla sicurezza pubblicato giovedì scorso.

Per accedere a questa vulnerabilità, un utente malintenzionato dovrebbe ottenere l’accesso a una rete ospedaliera, avere una conoscenza approfondita del prodotto, essere in grado di aggiornare e manipolare un file CAB che memorizza i file in una libreria archiviata e utilizza un formato corretto per Windows CE .

L’attaccante può modificare la velocità di infusione o arrestare completamente la pompa

In altre parole, un utente malintenzionato può indurre un paziente ad assumere farmaci troppo o troppo poco, con un risultato potenzialmente letale.

Oltre a sfruttare questa vulnerabilità critica, un utente malintenzionato potrebbe anche sfruttare una vulnerabilità sull’AGW. Per fare ciò, BD ha detto che l’attaccante avrebbe bisogno di …

… creare un eseguibile con codice personalizzato che può essere lanciato nell’ambiente Windows CE, comprendere come vengono utilizzati i protocolli di comunicazione all’interno del prodotto e creare un programma di installazione specifico per il file CAB, con le impostazioni richieste per eseguire tale programma.

Questa seconda vulnerabilità potrebbe consentire al malfattore di accedere alle interfacce di monitoraggio e configurazione della workstation tramite il browser Web. BD l’ha definito “difficile da sfruttare”.

BD ha dichiarato che nessuna informazione relativa al paziente è memorizzata sull’interfaccia “per impostazione predefinita” ma che un exploit di successo potrebbe consentire a un utente malintenzionato di visualizzare le informazioni, inclusi i registri degli eventi, e di modificare la configurazione di rete di una workstation.

Il lato non così positivo

Il rovescio della medaglia è che alla falla critica, che consente l’accesso remoto senza che siano necessari interventi da parte del personale ospedaliero e che viene monitorata come ICS-CERT Advisory CVE-2019-10959, è stato dato il punteggio massimo sulla scala delle vulnerabilità: CVSS 10, poiché non è richiesta alcuna autenticazione per accedere al dispositivo e caricare file dannosi.

DHS ha notato che queste vulnerabilità segnano la quarta volta che vengono inviate notifiche di cibersicurezza sulla linea di prodotti Alaris di BD. Una delle precedenti vulnerabilità ha ricevuto un punteggio quasi altrettanto elevato del nuovo problema del firmware, ha affermato il DHS.

Una di queste era relativa a un gran numero di dispositivi medici che sono stati vulnerabili agli attacchi KRACK Wi-Fi lo scorso anno.

KRACK, o, più propriamente, gli attacchi KRACK, acronimo di Key Reinstallation Attack (s) funzionano sfruttando un baco nella crittografia del protocollo WPA e WPA2, che in questi giorni copre la maggior parte dei punti di accesso wireless su cui è stata attivata la crittografia.

Cosa fare?

BD sta invita i suoi utenti a mitigare la minaccia del firmware bloccando un protocollo di comunicazione client-server utilizzato per condividere l’accesso ai file. Riferisce che i clienti dovrebbero …

• Utilizzare il firmware più recente per eliminare la vulnerabilità.
• Bloccare il protocollo SMB.
• Isolare la loro rete VLAN.
• Assicurarsi che solo i gli incaricati autorizzati abbiano accesso alla rete del cliente.

BD condividerà ulteriori dettagli con una risposta aggiuntiva entro i prossimi due mesi.