Ultrazvukové přístroje firmy GE a centrální stanice pro telemetrické sledování pacientů od firmy Spacelabs trpí zranitelnostmi.
V případě ultrazvuků GE jde o problém s kioskovým módem operačního systému, kdy útočník s fyzickým přístupem k zařízení může být schopen obejít kioskový mód a dostat se k citlivým nastavením systému. Pro zmírnění rizika se doporučuje omezit fyzický přístup k přístroji (samozřejmě) a případně na přístrojích nastavit přístupové heslo. Problém se týká modelů Vivid, LOGIQ, Voluson, Versana Essential, Invenia ABUS Scan station a Venue. Letmý pohled do Hlídače státu ukazuje, že se tyto přístroje v českých nemocnicích vyskytují docela hojně (viz Vivid, LOGIQ, Voluson, Vivid, Versana a Venua). Ve skórovacím systému CVSS v3 dosáhla zranitelnost hodnoty 6,8.
U firmy Spacelabs jde o centrální stanici pro telemetrické sledování pacientů a problémem je slavná chyba BlueKeep v RDP protokolu starých Windows, která umožňuje útočníkovi vcelku bezbariérový přístup do systému. Postiženy jsou přístroje Xhibit a již dávno nepodporovaný Arkon, přičemž pár přístrojů Xhibit se v naší republice dle Hlídače státu pohybuje. Firma poskytuje ke svým přístrojům update, podporu a doporučení zablokovat TCP port 3389, což zabrání iniciaci RDP spojení. CISA (Cybersecurity & Infrastructure Security Agency) k tomu dodává všeobecné rady, tj. např. minimalizovat připojení na síť u všech zdravotnických přístrojů, používat firewall, omezit přístup jen oprávněným pracovníkům a dodržovat princip minimálních privilegií, deaktivovat nepoužívané účty, protokoly a služby a podobně. Ve skórovacím systému CVSS chyba obržela kritické skóre 9,8.
Více informací viz ICSMA-20–049–02 (GE) a ICSMA-20–049–01 (Spacelabs).
