Múltiples vulnerabilidades en productos médicos Sigma y Baxter

Fecha de publicación: 09/09/2022

Importancia:
Media

Recursos afectados:

• Sigma Spectrum v6.x, modelo 35700BAX;
• Sigma Spectrum v8.x, modelo 35700BAX2;
• Baxter Spectrum IQ (v9.x), modelo 35700BAX3;
• Sigma Spectrum LVP v6.x Wireless Battery Modules v16, v16D38, v17, v17D19, desde la v20D29 hasta la v20D32 y desde la v22D24 hasta la v22D28;
• Sigma Spectrum LVP v8.x Wireless Battery Modules v17, v17D19, desde la v20D29 hasta la v20D32 y desde la v22D24 hasta la v22D28;
• Baxter Spectrum IQ LVP (v9.x) con Wireless Battery Modules, desde la v22D19 hasta la v22D28.

Descripción:

Deral Heiland, investigador principal de IoT en Rapid 7, informó de 4 vulnerabilidades a Baxter, 3 medias y una baja, que podrían permitir a un atacante la divulgación de información, la denegación del servicio o modificar los parámetros para que falle la conexión de red.

Solución:

• Las actualizaciones para el CVE-2022-26392 están en proceso;
• el CVE-2022-26393, está solucionado en la versión 20D30 de WBM;
• el CVE-2022-26390, está solucionado en el resto de versiones de WBM;
• para el CVE-2022-26390, próximamente se incorporarán instrucciones en el manual ‘Spectrum Operator’s Manual’.

Puede consultar medidas de mitigación adicionales en el apartado ‘Mitigations’ del aviso en la sección de ‘Referencias’.

Detalle:

• Las credenciales de red y la información sanitaria del paciente (PHI), se almacena de forma no cifrada en los productos WBM Spectrum de Baxter. Un atacante con acceso físico a un dispositivo, que conserve todos los datos y configuraciones, puede ser capaz de extraer información sensible. Se ha asignado el identificador CVE-2022-26390 para esta vulnerabilidad.
• Un atacante podría leer la memoria o acceder a información sensible o provocar una condición de denegación de servicio en los productos WBM de Baxter Spectrum, mediante el envío de mensajes especialmente diseñados a través de la aplicación. Se ha asignado el identificador CVE-2022-26393 para esta vulnerabilidad.
• El WBM de Baxter Spectrum no realiza la autenticación mutua con la puerta de enlace del servidor, lo que podría permitir a un atacante realizar un ataque machine-in-the-middle que modifique los parámetros, haciendo que la conexión de red falle. Se ha asignado el identificador CVE-2022-26394 para esta vulnerabilidad.

Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2022-26392.

Etiquetas:
Actualización, Sanidad, Vulnerabilidad