몇 년 된 치명적인 취약점의 영향을 받는 주입 펌프: 보고서

Palo Alto Networks Unit 100,000의 연구원에 따르면 42개 이상의 주입 펌프가 약 XNUMX년 전에 공개된 심각한 취약점에 취약한 것으로 밝혀졌습니다.

의료 제공자 및 병원 네트워크에서 발견된 200,000개 이상의 주입 펌프를 스캔한 결과 이러한 네트워크 연결 장치의 75%가 잠재적인 사이버 공격에 노출되는 알려진 취약점의 영향을 받는 것으로 나타났습니다.

Palo Alto Networks 연구원에 따르면 더 놀라운 것은 스캔된 장치의 52% 이상이 2019년에 확인된 두 가지 심각한 보안 결함인 CVE-2019-12255(CVSS 점수 9.8) 및 CVE-2019-12264에 취약하다는 사실입니다. (CVSS 점수 7.1).

100,000개 이상의 주입 펌프가 오래된 중간 심각도 버그(CVE-2016-9355 및 CVE-2016-8375)에 취약한 것으로 밝혀졌다고 회사는 밝혔습니다. 연구 보고서.

"이러한 취약성과 경고 중 일부는 공격자가 조직에 물리적으로 존재하지 않는 한 악용할 수 없지만, 모두 의료 조직의 일반적인 보안과 환자의 안전에 잠재적인 위험을 나타냅니다. 특히 위협 행위자가 다음과 같은 상황에서 목표를 공격하는 데 추가 자원을 투입하도록 동기를 부여해야 합니다.”라고 연구원들이 덧붙였습니다.

[ 읽다: 해커는 의료 주입 펌프가 제공하는 용량을 조작할 수 있습니다. ]

주입 펌프는 환자에게 약물과 수액을 전달하는 데 사용되며 소프트웨어 보안 결함을 악의적으로 악용하면 인명을 위험에 빠뜨릴 수 있다고 회사는 경고했다. 식별된 취약점의 대부분은 민감한 데이터를 유출하고 무단 액세스를 얻기 위해 악용될 수 있습니다.

민감한 정보 노출로 이어지는 버그는 주입 펌프뿐만 아니라 다른 의료 기기에도 영향을 미치며 자격 증명, 운영 정보 및 환자별 데이터에 영향을 미칠 수 있다고 연구원들은 지적합니다.

일반적으로 발생하는 또 다른 문제는 취약성을 포함할 수 있는 타사 라이브러리의 사용과 관련됩니다. 연구원들은 다음과 같이 언급했습니다. CVE-2019-12255 및 CVE 2019-12264예를 들어, Alaris Infusion Pumps의 ENEA OS에서 발견된 TCP/IP 스택 IPNet의 심각한 취약점입니다.

[ 읽다: 해커는 인슐린 펌프 공격을 통해 당뇨병 환자를 해칠 수 있습니다 ]

연구원들은 네트워크 외부에서 들어오는 많은 재설정 패킷, 사용자 에이전트 문자열의 잘못된 값, HTTP를 통한 민감한 데이터 전송, 공장 기본 자격 증명의 사용 또는 네트워크 트래픽의 비정상적인 포트 번호 및 개수의 존재.

보안 연구원은 "전반적으로 주입 시스템에서 발생하는 일반적인 보안 경고의 대부분은 예를 들어 인터넷 연결이나 기본 사용자 이름 및 암호 사용을 통해 장치 소유자가 알고 있어야 하는 공격 경로를 나타냅니다."라고 말합니다.

일부 주입 펌프는 최대 10년 동안 사용된다는 점을 감안할 때 장치, 데이터 및 환자의 보안을 보장하려는 의료 제공자는 모든 자산을 식별 및 목록화하고 취약성 및 규정 준수 격차를 사전에 검색하고 위험 감소를 적용하는 것이 좋습니다. 정책을 수립하고 환경 내에서 강력한 탐지 및 예방 기능을 구현합니다.

관련 : 메드트로닉, 주요 보안 위험으로 인해 의료 기기 리콜

관련 : 의료 IoT 기기에 대한 NIST의 새로운 조언