18.02.2020

BDU:2024-04475 (CVE-2020-6977) — уязвимость режима Kiosk Mode систем ультразвуковой диагностики GE HealthCare

По данным БДУ ФСТЭК России, по состоянию на 11.06.2024.

Высокий — 8.4/10 Нет исправления

Уязвимость режима Kiosk Mode систем ультразвуковой диагностики GE HealthCare связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю обойти ограничения безопасности, получить несанкционированный доступ к защищаемой информации и повысить свои привилегии

Кого касается и что делать

Уязвимое ПО: Invenia ABUS (GE Healthcare); Vivid E90 (GE Healthcare); Vivid E95 (GE Healthcare); и ещё 34 позиции
Что делать: применить компенсирующие меры (см. раздел мер ниже)

Сведения об уязвимости

Идентификаторы	BDU:2024-04475 · CVE-2020-6977
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.4; CVSS 2.0 — 7.2)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость режима Kiosk Mode систем ультразвуковой диагностики GE HealthCare, позволяющая нарушителю обойти ограничения безопасности, получить несанкционированный доступ к защищаемой информации и повысить свои привилегии
Даты	Опубликована: 11.06.2024 · Обновлена ФСТЭК: 11.06.2024 · Выявлена: 18.02.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных; CWE-250 — исполнение с необязательными привилегиями; CWE-693 — нарушение механизма защиты данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение авторизации, манипулирование ресурсами

Уязвимое ПО

Invenia ABUS (GE Healthcare) — ПО программно-аппаратного средства
Vivid E90 (GE Healthcare) — ПО программно-аппаратного средства
Vivid E95 (GE Healthcare) — ПО программно-аппаратного средства
Vivid S60N (GE Healthcare) — ПО программно-аппаратного средства
Vivid E80 (GE Healthcare) — ПО программно-аппаратного средства
Vivid S70N (GE Healthcare) — ПО программно-аппаратного средства
Vivid T8 (GE Healthcare) — ПО программно-аппаратного средства
Vivid iQ (GE Healthcare) — ПО программно-аппаратного средства
Vivid T9 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ Fortis (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ E10s (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ E10 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R2 (GE Healthcare) — ПО программно-аппаратного средства
Venue R1 (GE Healthcare) — ПО программно-аппаратного средства
Venue R2 (GE Healthcare) — ПО программно-аппаратного средства
Versana Essential R2 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R3 (GE Healthcare) — ПО программно-аппаратного средства
Venue R3 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue Fit R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue Fit R3 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R9 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R8 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R7 (9.2.x) (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R7 (9.1.x) (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ He (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 22 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 18 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 16 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 16 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT+ (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 22 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 18 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT+ BT24 (GE Healthcare) — ПО программно-аппаратного средства

Возможные меры по устранению уязвимости

Если обновиться нельзя

ограничение возможности подключения к устройствам через SMB по 2638 TCP-порту (порт сервера базы данных SQL Anywhere)
использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству
ограничение доступа к устройству из внешних сетей (Интернет)
использование виртуальных частных сетей для организации удаленного доступа (VPN)
сегментирование сети для ограничения возможности удалённого доступа к медицинскому оборудованию.
Использование рекомендаций производителя:
www.gehealthcare.com/services/lifecycle-management/produc…

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: