Flaw Could Permit Hacking of Implanted Devices

http://www.arrl.org/arrlletter?issue=2019-03-28#toc11

Уязвимость позволяет взломать имплантированные устройства

Medtronic, крупнейшая в мире компания по производству медицинских устройств, признала, что многие из ее имплантированных сердечных дефибрилляторов используют незашифрованный беспроводной протокол, который может позволить злоумышленнику изменить настройки устройства.

Агентство по кибербезопасности и безопасности инфраструктуры Министерства внутренних дел (CISA) присвоило этой уязвимости 9,3 балла опасности по 10-балльной шкале. Это означает, что уязвимость позволяет несанкционированно читать и записывать любую область памяти имплантированных устройств. Речь идет о протоколе радиочастотной телеметрии Conexus, который используется как часть системы дистанционного управления пациентом для связи между дефибрилляторами, устройствами для наблюдения за домом и устройствами программирования у врачей. Согласно CISA, к таким устройствам относятся монитор MyCareLink, монитор CareLink, программатор CareLink 2090 и другие имплантированные устройства Medtronic, перечисленные в его предупреждении. Основными уязвимостями являются неправильный контроль доступа и передача конфиденциальной информации.

«Использование этих уязвимостей может позволить злоумышленнику с возможностью близкого доступа к одному из указанных продуктов, вмешиваться, генерировать, изменять или перехватывать радиочастотную частную информацию телеметрической системы Conexus, принадлежащей Medtronic, что может повлиять на функционирование продукта и/или дать доступ к передаваемым конфиденциальным данным ", сказали в CISA.

Далее в предупреждении CISA говорится: «Medtronic отреагировал на неправильное использование протокола телеметрии Conexus и применил дополнительные средства контроля для мониторинга имплантированных сердечных устройств. Разрабатываются дополнительные меры по снижению риска, которые будут применены в будущих обновлениях, при условии одобрения регулирующих органов. Medtronic рекомендует пользователям принять дополнительные защитные меры для минимизации риска использования этих уязвимостей». Эти «дополнительные защитные меры» прописаны в предупреждении CISA.