۱۳۹۸-۰۴-۲۳ ۱۶:۵۶
تنظیم اندازه قلم

پ

۲:۴۱
اخبار امنیت فناوری

کشف آسیب پذیری در دستگاه‌های بیهوشی شرکت General Electric

محققان حوزه امنیت در دو مدل از دستگاه‌های بیهوشی ساخت شرکت GE آسیب پذیری را کشف کرده‌اند. دو دستگاه آسیب پذیر عبارتند از: GE Aestiva , GE Asespire مدل ۷۱۰۰ و ۷۹۰۰. به گفته محققانCyberMDX (شرکت امنیتی سایبری)، آسیب پذیری در سیستم عامل دو دستگاه وجود دارد.

شرکت GE به بیمارستان‌ها و مراکز درمانی توصیه می‌کند که دستگاه‌های بیهوشی آسیب پذیر را به شبکه بیمارستان متصل نکنند.
محققان: آلودگی می‌تواند بیماران را در معرض خطر قرار دهد.

CyberMDX گفت: هکرها بعد از نفوذ به یک شبکه بیمارستان به عنوان یک دستگاه می‌توانند دستورات را از راه دور ارسال کنند و تنظیمات دستگاه بیهوشی را تغییر دهند. یک متخصص CyberMDX در ایمیلی به ZDNet گفت: "خیلی ساده است به علت عدم وجود احراز هویت" یک ماهیت دقیق از نقص امنیتی است.
وی افزود: "دستورات توسط طراح پشتیبانی می‌شود". برخی از آن‌ دستگاه‌ها تنها از یک نسخه قبلی پروتکل پشتیبانی می‌شوند، اما یک دستور دیگر وجود دارد که اجازه تغییر نسخه پروتکل را می‌دهد (برای سازگاری). پس از ارسال دستور برای تغییر پروتکل به یک نسخه قبل، مهاجم می‌تواند تمام دستورات دیگری که در نظر دارد را ارسال کند. این پژوهشگر ادعا می‌کند که دستورات می‌توانند برای تنظیمات غیر مجاز به ترکیب گازهای دستگاه بیهوشی، مانند تعدیل غلظت اکسیژن، CO2، N2O و سایر مواد بی حس کننده یا فشار گاز استفاده شوند.

CyberMDX گفت که چنین تغییرات غیر مجازی می‌تواند بیماران را در معرض خطر قرار دهد. علاوه بر این، مهاجمان همچنین می‌توانند هشدارهای دستگاه را برای سطوح پایین / بالا از عوامل مختلف خاموش و برچسب زمان بندی‌ها را داخل لاگ سیستم تغییر دهند.
الاد لووز، رئیس تحقیقات CyberMDX گفت: "پتانسیل برای دستکاری هشدارها و ترکیبات گاز به طور چشمگیری نگران کننده است." حساس‌تر از آن مشکل توانایی در تغییر برچسب‌های زمانی است چرا که تمام مستندات اتفاقاتی که داخل اتاق عمل رخ داده است در آن ذخیره شده است.

"بیهوشی یک علم پیچیده است و هر بیمار ممکن است به درمان واکنش متفاوتی نشان دهد. به همین علت، متخصصان بیهوشی باید پروتکل‌های سختگیرانه‌ای را برای مستند سازی و گزارش‌دهی روش‌ها، دوز، علائم حیاتی و... دنبال کنند. توانایی گرفتن دقیق اطلاعات به صورت خودکار یکی از دلایل اصلی است که دستگاه تنفس مصنوعی برای شروع کار به شبکه متصل می‌شود. لوز گفت: "این یک مشکل بسیار جدی برای هر مرکز پزشکی است". علاوه بر این، هنگامی که مهاجم به شبکه بیمارستان دسترسی پیدا می‌کند حملات ساده‌اند که بیشتر آن‌ها اجرای نرم افزارهای نا امن و قدیمی شناخته شده‌اند.

CyberMDX به ZDNet گفت که در ماه اکتبر ۲۰۱۸ نقص‌ها را به GE گزارش کرده است. GE تا زمان ارائه وصله امنیتی توصیه‌هایی در سایت اینترنتی خود منتشر کرده است.
فروشنده این دستگاه می‌گوید که می‌توان از آسیب پذیری‌ها اجتناب کرد برای این کار باید از اتصال دستگاه بیهوشی به شبکه بیمارستان خودداری کرد چرا که تنها نقص امنیتی واقعی در پروتکل ارتباطی دستگاه بوده که مستلزم اتصال دستگاه از طریق پورتی به سرور شبکه است. در این صورت حتی اگر هکرها به شبکه بیمارستان دسترسی داشته باشند نمی‌توانند از این آسیب پذیری سوء استفاده کنند. شرکت GE گفت اگر نیاز باشد که دستگاه بیهوشی به یک سیستم مدیریت مرکزی متصل شود باید از سرورهای ایمن استفاده شود.

تیم ICS-CERT وزارت امنیت داخلی که به CyberMDX در ارتباط با بخش مراقبت‌های بهداشتی GE کمک کرده است، یک هشدار امنیتی با دستورالعمل‌هایی درباره چگونگی نحوه تأسیس بیمارستان‌ها و سایر مراکز پزشکی که تحت تاثیر دستگاه بیهوشی قرار دارند منتشر کرد. شرکت GE نیز اطلاعات مشابهی را در وب سایت خود در این آدرس منتشر کرده است. همچنین گزارش CyberMDX در خصوص جزئیات آسیب پذیری دو دستگاه Aestiva و Aespire در این آدرس موجود است.

کلمات کلیدی :

افزودن دیدگاه جدید

700X100.gif

اخبار مرتبط