13.02.2024

BDU:2024-04476 (CVE-2024-1486) — уязвимость систем ультразвуковой диагностики GE HealthCare

По данным БДУ ФСТЭК России, по состоянию на 11.06.2024.

Высокий — 7.4/10 Нет исправления

Уязвимость систем ультразвуковой диагностики GE HealthCare связана с неверным назначением разрешений для критического ресурса. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии

Кого касается и что делать

Уязвимое ПО: Invenia ABUS (GE Healthcare); Vivid E90 (GE Healthcare); Vivid E95 (GE Healthcare); и ещё 34 позиции
Что делать: применить компенсирующие меры (см. раздел мер ниже)

Сведения об уязвимости

Идентификаторы	BDU:2024-04476 · CVE-2024-1486
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.4; CVSS 2.0 — 6.9)
Вектор CVSS 3.1	AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость систем ультразвуковой диагностики GE HealthCare, связанная с неверным назначением разрешений для критического ресурса, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии
Даты	Опубликована: 11.06.2024 · Обновлена ФСТЭК: 11.06.2024 · Выявлена: 13.02.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет)
Тип ошибки	CWE-286 — неправильное управление действиями пользователя; CWE-732 — неправильное присвоение разрешений для критичного ресурса
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

Invenia ABUS (GE Healthcare) — ПО программно-аппаратного средства
Vivid E90 (GE Healthcare) — ПО программно-аппаратного средства
Vivid E95 (GE Healthcare) — ПО программно-аппаратного средства
Vivid S60N (GE Healthcare) — ПО программно-аппаратного средства
Vivid E80 (GE Healthcare) — ПО программно-аппаратного средства
Vivid S70N (GE Healthcare) — ПО программно-аппаратного средства
Vivid T8 (GE Healthcare) — ПО программно-аппаратного средства
Vivid iQ (GE Healthcare) — ПО программно-аппаратного средства
Vivid T9 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ Fortis (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ E10s (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ E10 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R2 (GE Healthcare) — ПО программно-аппаратного средства
Venue R1 (GE Healthcare) — ПО программно-аппаратного средства
Venue R2 (GE Healthcare) — ПО программно-аппаратного средства
Versana Essential R2 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R3 (GE Healthcare) — ПО программно-аппаратного средства
Venue R3 (GE Healthcare) — ПО программно-аппаратного средства
Venue Go R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue Fit R4 (GE Healthcare) — ПО программно-аппаратного средства
Venue Fit R3 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R9 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R8 (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R7 (9.2.x) (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ e R7 (9.1.x) (GE Healthcare) — ПО программно-аппаратного средства
LOGIQ He (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 22 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 18 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 16 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 16 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT+ (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 22 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson Expert 18 BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT BT24 (GE Healthcare) — ПО программно-аппаратного средства
Voluson SWIFT+ BT24 (GE Healthcare) — ПО программно-аппаратного средства

Возможные меры по устранению уязвимости

Если обновиться нельзя

ограничение возможности подключения к устройствам через SMB по 2638 TCP-порту (порт сервера базы данных SQL Anywhere)
использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству
ограничение доступа к устройству из внешних сетей (Интернет)
использование виртуальных частных сетей для организации удаленного доступа (VPN)
сегментирование сети для ограничения возможности удалённого доступа к медицинскому оборудованию.
Использование рекомендаций производителя:
www.gehealthcare.com/services/lifecycle-management/produc…

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: