BDU:2024-04329 (CVE-2024-1630) — уязвимость функции getAllFolderContents() веб-приложения Common Service Desktop систем ультразвуковой диагностики GE HealthCare

По данным БДУ ФСТЭК России, по состоянию на 03.06.2024.

Уязвимость функции getAllFolderContents() веб-приложения Common Service Desktop систем ультразвуковой диагностики GE HealthCare связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

• Уязвимое ПО: Venue Go R2 (GE Healthcare); Venue R1 (GE Healthcare); Venue R2 (GE Healthcare); и ещё 39 позиций
• Что делать: применить компенсирующие меры (см. раздел мер ниже)

Сведения об уязвимости

Уязвимое ПО

• Venue Go R2 (GE Healthcare) — ПО программно-аппаратного средства
• Venue R1 (GE Healthcare) — ПО программно-аппаратного средства
• Venue R2 (GE Healthcare) — ПО программно-аппаратного средства
• Voluson Expert 22 (GE Healthcare) — ПО программно-аппаратного средства
• Voluson Expert 18 (GE Healthcare) — ПО программно-аппаратного средства
• Voluson Expert 16 (GE Healthcare) — ПО программно-аппаратного средства
• Voluson SWIFT+ (GE Healthcare) — ПО программно-аппаратного средства
• Voluson SWIFT (GE Healthcare) — ПО программно-аппаратного средства
• Voluson SWIFT BT24 (GE Healthcare) — ПО программно-аппаратного средства
• Voluson SWIFT+ BT24 (GE Healthcare) — ПО программно-аппаратного средства
• Invenia ABUS (GE Healthcare) — от 2.0 до 2.2.7 включительно · ПО программно-аппаратного средства
• Vivid E95 (GE Healthcare) — версии 204, 206 · ПО программно-аппаратного средства
• Vivid E90 (GE Healthcare) — версии 206, 204 · ПО программно-аппаратного средства
• Vivid E80 (GE Healthcare) — версии 204, 206 · ПО программно-аппаратного средства
• Vivid S60N (GE Healthcare) — версии 206, 204 · ПО программно-аппаратного средства
• Vivid S70N (GE Healthcare) — версии 206, 204 · ПО программно-аппаратного средства
• Vivid T8 (GE Healthcare) — версии до 206 включительно, до 204.117, до 205.117 · ПО программно-аппаратного средства
• Vivid T9 (GE Healthcare) — версии до 206 включительно, до 204.117, до 205.117 · ПО программно-аппаратного средства
• Vivid iQ (GE Healthcare) — версии до 206 включительно, до 204.117, до 205.117 · ПО программно-аппаратного средства
• LOGIQ E10s (GE Healthcare) — до R3.2.0 · ПО программно-аппаратного средства
• LOGIQ E10 (GE Healthcare) — до R3.2.0 · ПО программно-аппаратного средства
• LOGIQ Fortis (GE Healthcare) — до R3.2.0 · ПО программно-аппаратного средства
• Voluson Expert 22 BT24 (GE Healthcare) — ext 0 · ПО программно-аппаратного средства
• Voluson Expert 18 BT24 (GE Healthcare) — ext 0 · ПО программно-аппаратного средства
• Voluson Expert 16 BT24 (GE Healthcare) — ext 0 · ПО программно-аппаратного средства
• LOGIQ e R7 (9.2.x) (GE Healthcare) — до R9.2.5 включительно · ПО программно-аппаратного средства
• LOGIQ e R7 (9.1.x) (GE Healthcare) — до R9.1.4 включительно · ПО программно-аппаратного средства
• LOGIQ He (GE Healthcare) — до R9.3.2 включительно · ПО программно-аппаратного средства
• LOGIQ e R8 (GE Healthcare) — до R10.1.3 включительно · ПО программно-аппаратного средства
• LOGIQ e R9 (GE Healthcare) — до R11.0.3 включительно · ПО программно-аппаратного средства
• Venue Fit R4 (GE Healthcare) — до 4.3 · ПО программно-аппаратного средства
• Venue Go R4 (GE Healthcare) — до 4.3 · ПО программно-аппаратного средства
• Venue R4 (GE Healthcare) — до 4.3 · ПО программно-аппаратного средства
• Venue R3 (GE Healthcare) — до 3.3 включительно · ПО программно-аппаратного средства
• Venue Go R3 (GE Healthcare) — до 3.3 включительно · ПО программно-аппаратного средства
• Venue Fit R3 (GE Healthcare) — до 3.3 включительно · ПО программно-аппаратного средства
• Versana Essential R2 (GE Healthcare) — до 2.0.3 включительно · ПО программно-аппаратного средства
• Versana Premier R1 (GE Healthcare) — версии до 1.2.8 включительно, до 1.0.16 включительно · ПО программно-аппаратного средства
• Versana Premier R2 (GE Healthcare) — до 2.1.8 включительно · ПО программно-аппаратного средства
• Versana Active R1 (GE Healthcare) — версии до 1.2.2 включительно, до 1.0.9 включительно · ПО программно-аппаратного средства
• Versana Balance R1 (GE Healthcare) — версии до 1.2.3 включительно, до 1.0.9 включительно · ПО программно-аппаратного средства
• Versana Balance R2 (GE Healthcare) — до 2.0.7 включительно · ПО программно-аппаратного средства

Возможные меры по устранению уязвимости

Использование рекомендаций:

Если обновиться нельзя

• ограничение возможности подключения к устройствам через SMB по 2638 TCP-порту (порт сервера базы данных SQL Anywhere)
• использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству
• ограничение доступа к устройству из внешних сетей (Интернет)
• использование виртуальных частных сетей для организации удаленного доступа (VPN)
• сегментирование сети для ограничения возможности удалённого доступа к медицинскому оборудованию.
  Рекомендации производителя:
  www.gehealthcare.com/services/lifecycle-management/produc…

Источники

• www.gehealthcare.com/services/lifecycle-management/produc…
• www.nozominetworks.com/blog/ge-healthcare-vivid-ultrasoun…
• vuldb.com/ru/