08.12.2020

BDU:2021-01651 (CVE-2020-25179) — уязвимость медицинского диагностического оборудования GE Healthcare

По данным БДУ ФСТЭК России, по состоянию на 30.03.2021.

Критический — 9.8/10 Устранена

Уязвимость медицинского диагностического оборудования GE Healthcare связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации или повысить свои привилегии

Кого касается и что делать

Уязвимое ПО: Signa HDxt 3.0T (GE Healthcare) — версии HD 16, HD 23; Signa HDx 3.0T (GE Healthcare) — версии HD 16, HD 23; Brivo MR355 1.5T (GE Healthcare) — версии SV20.1, SV23.0; и ещё 106 позиций
Что делать: уязвимость устранена производителем — применить исправления: us-cert.cisa.gov

Сведения об уязвимости

Идентификаторы	BDU:2021-01651 · CVE-2020-25179
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 7.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость медицинского диагностического оборудования GE Healthcare, связанная с отсутствием защиты служебных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации или повысить свои привилегии
Даты	Опубликована: 30.03.2021 · Обновлена ФСТЭК: 30.03.2021 · Выявлена: 08.12.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: организационные меры)
Тип ошибки	CWE-200 — раскрытие информации; CWE-497 — раскрытие системных данных неавторизованной для контролируемой области
Класс уязвимости	Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации

Уязвимое ПО

Signa HDxt 3.0T (GE Healthcare) — версии HD 16, HD 23 · микропрограммный код
Signa HDx 3.0T (GE Healthcare) — версии HD 16, HD 23 · микропрограммный код
Brivo MR355 1.5T (GE Healthcare) — версии SV20.1, SV23.0 · микропрограммный код
Optima MR360 (GE Healthcare) — версии SV20.1, SV23.0 · микропрограммный код
Signa HDx 1.5T (GE Healthcare) — версии HD 16, HD 23 · микропрограммный код
Signa HDi (GE Healthcare) — версии HD 16, HD 23 · микропрограммный код
Signa VIBRANT (GE Healthcare) — версии HD 16, HD 23 · микропрограммный код
LOGIQ 5 (GE Healthcare) — BT03 · микропрограммный код
LOGIQ 7 (GE Healthcare) — версии BT03, BT04, BT06 · микропрограммный код
LOGIQ 9 (GE Healthcare) — версии BT02, BT03, BT04, BT06 · микропрограммный код
Vivid I (GE Healthcare) — BT06 · микропрограммный код
Vivid 7 (GE Healthcare) — от BT02 до BT06 включительно · микропрограммный код
EchoPAC (Turnkey) (GE Healthcare) — BT06 · ПО программно-аппаратного средства
Image Vault (Turnkey) (GE Healthcare) — 4.3 · прикладное ПО информационных систем
Voluson 730 (GE Healthcare) — версии BT05, BT08 · микропрограммный код
AW (GE Healthcare) — от 4.0 до 4.6 включительно · прикладное ПО информационных систем
AWS (GE Healthcare) — от 2.0 до 3.0 включительно · прикладное ПО информационных систем
Innova 2000 (GE Healthcare) — микропрограммный код
Innova 3100 (GE Healthcare) — микропрограммный код
Innova 4100 (GE Healthcare) — прикладное ПО информационных систем
Innova 2100-IQ (GE Healthcare) — микропрограммный код
Innova 3100-IQ (GE Healthcare) — микропрограммный код
Innova 4100-IQ (GE Healthcare) — микропрограммный код
Innova 212-IQ (GE Healthcare) — микропрограммный код
Innova 313-IQ (GE Healthcare) — микропрограммный код
Optima 320 (GE Healthcare) — микропрограммный код
Optima CL320i (GE Healthcare) — микропрограммный код
Optima CL323i (GE Healthcare) — микропрограммный код
Optima CL320 (GE Healthcare) — микропрограммный код
Optima 3100 (GE Healthcare) — микропрограммный код
Optima IGS 320 (GE Healthcare) — микропрограммный код
Optima IGS 330 (GE Healthcare) — микропрограммный код
Innova IGS 5×0 (GE Healthcare) — микропрограммный код
Innova IGS 6×0 (GE Healthcare) — микропрограммный код
Innova IGS 7×0 (GE Healthcare) — микропрограммный код
Brivo XR118 (GE Healthcare) — микропрограммный код
Brivo XR383 (GE Healthcare) — микропрограммный код
Brivo XR515 (GE Healthcare) — микропрограммный код
Brivo XR575 (GE Healthcare) — микропрограммный код
Definium 5000 (GE Healthcare) — микропрограммный код
Definium 6000 (GE Healthcare) — микропрограммный код
Definium 8000 (GE Healthcare) — микропрограммный код
Definium AMX 700 (GE Healthcare) — микропрограммный код
Discovery XR650 (GE Healthcare) — микропрограммный код
Discovery XR656 (GE Healthcare) — микропрограммный код
Discovery XR656+ (GE Healthcare) — микропрограммный код
Optima XR640 (GE Healthcare) — микропрограммный код
Optima XR646 (GE Healthcare) — микропрограммный код
Optima XR220amx (GE Healthcare) — микропрограммный код
Optima XR200amx (GE Healthcare) — микропрограммный код
… и ещё 59 позиций

Возможные меры по устранению уязвимости

Обновление.

Использование рекомендаций
us-cert.cisa.gov/ics/advisories/icsma-20-343-01

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: