Philips ska undersöka sårbarheter i PageWriter Cardiograph Device Mid 2019

Philips kardiografenhet. Absolut medicinsk utrustning

Philips är känt för att producera avancerade PageWriter Cardiograph-enheter. Efter den senaste upptäckten av cybersäkerhetsproblem i sina enheter som gör det möjligt för angripare att ändra enheternas inställningar för att påverka diagnosen, har Philips kommit fram och sagt i ett ICS-CERT rådgivande att den inte tänker undersöka dessa sårbarheter förrän sommaren 2019.

Philips PageWriter Cardiograph-enheter tar in signaler genom sensorer som är anslutna till kroppen och använder dessa data för att skapa EKG-mönster och diagram som läkaren sedan kan rådfråga för att avsluta en diagnos. Denna process borde inte ha någon inblandning i sig för att säkerställa integriteten hos de mätningar som gjorts och diagrammen som visas, men det verkar som att manipulatorer kan påverka dessa data manuellt.

Sårbarheterna finns i Philips PageWriter-modeller TC10, TC20, TC30, TC50 och TC70. Sårbarheterna uppstår från det faktum att ingångsinformation kan matas in manuellt och hårdkodas i gränssnittet vilket resulterar i felaktig inmatning eftersom enhetens system inte verifierar eller filtrerar bort någon av de angivna uppgifterna. Detta innebär att resultaten från enheten är direkt korrelerade med vad användarna lägger i dem manuellt, vilket möjliggör felaktig och ineffektiv diagnos. Bristen på datasanitering bidrar direkt till möjligheten till buffertöverskridning och formatsträngsårbarheter.

Förutom detta datafel utnyttjar möjligheten, förmågan att hårddata data i gränssnittet lämpar sig också för hårdkodning av referenser också. Detta innebär att alla angripare som känner till enhetens lösenord och har enheten fysiskt till hands kan ändra enhetens inställningar och orsaka felaktig diagnos med enheten.

Trots företagets beslut att inte undersöka dessa sårbarheter förrän sommaren nästa år har den publicerade rådgivningen erbjudit några råd för att mildra dessa sårbarheter. De viktigaste riktlinjerna för detta handlar om enhetens fysiska säkerhet: att säkerställa att skadliga angripare inte kan komma åt eller manipulera enheten fysiskt. Utöver detta rekommenderas kliniker att initiera komponentskydd i sina system, begränsa och reglera vad som kan nås på enheterna.