필립스 심전도 장치. 절대 의료 기기
Philips는 고성능의 효율적인 PageWriter Cardiograph 장치를 생산하는 것으로 유명합니다. 공격자가 기기의 설정을 변경하여 진단에 영향을 줄 수있는 장치의 사이버 보안 취약성이 최근 발견 된 후 Philips는 ICS-CERT에서 발표했습니다. 자문 2019 년 여름까지 이러한 취약점을 조사하지 않을 것입니다.
Philips PageWriter Cardiograph 장치는 신체에 부착 된 센서를 통해 신호를 수신하고이 데이터를 사용하여 의사가 진단을 내리기 위해 상담 할 수있는 ECG 패턴과 다이어그램을 만듭니다. 이 프로세스는 취한 측정 및 묘사 된 그래프의 무결성을 보장하기 위해 자체적으로 간섭이 없어야하지만 조작자가이 데이터에 수동으로 영향을 미칠 수있는 것으로 보입니다.
취약점은 Philips의 PageWriter 모델 TC10, TC20, TC30, TC50 및 TC70에 존재합니다. 이 취약점은 입력 정보를 수동으로 입력하고 인터페이스에 하드 코딩 할 수 있기 때문에 장치의 시스템이 입력 된 데이터를 확인하거나 필터링하지 않으므로 부적절한 입력이 발생하기 때문에 발생합니다. 즉, 장치의 결과가 사용자가 수동으로 장치에 입력 한 내용과 직접적으로 연관되어 부적절하고 비효율적 인 진단이 가능합니다. 데이터 삭제의 부재는 버퍼 오버플로 및 형식 문자열 취약성의 가능성에 직접적으로 기여합니다.
이 데이터 오류 악용 가능성 외에도 데이터를 인터페이스에 하드 코딩하는 기능은 자격 증명의 하드 코딩에도 적합합니다. 즉, 기기의 비밀번호를 알고 있고 기기를 실제로 소지 한 공격자가 기기 설정을 수정하여 기기를 사용하여 부적절한 진단을 할 수 있습니다.
내년 여름까지 이러한 취약점을 조사하지 않기로 결정한 회사의 결정에도 불구하고 게시 된 권고는 이러한 취약점을 완화하기위한 몇 가지 조언을 제공했습니다. 이에 대한 주요 지침은 악의적 인 공격자가 장치에 물리적으로 액세스하거나 조작 할 수 없도록하는 장치의 물리적 보안에 관한 것입니다. 이 외에도 클리닉은 시스템에서 구성 요소 보호를 시작하여 장치에서 액세스 할 수있는 항목을 제한하고 규제하는 것이 좋습니다.
