Contec CMS8000-sårbarhed: Et kritisk cybersikkerhedsproblem eller dårlig kodningspraksis?

Health-ISAC Medical Device Security Blog i TechNation

Skrevet af Phil Englert, Health-ISAC VP for Medical Device Security

Den 30. januar 2025 udsendte Cybersecurity and Infrastructure Security Agency (CISA) den medicinske rådgivning ICSMA-25-030-01, der fremhævede kritiske sårbarheder i Contec CMS8000-patientmonitorerne. Disse sårbarheder – som inkluderer en out-of-bounds write, skjult bagdørsfunktionalitet og privatlivslækage – udgør betydelige risici for patientsikkerhed og datasikkerhed. Den amerikanske fødevare- og lægemiddelstyrelse (FDA) udsendte en sikkerhedsmeddelelse samme dag, der understregede de risici, der er forbundet med disse sårbarheder. FDA fremhævede, at Contec CMS8000 og omdøbte versioner, såsom Epsimed MN-120, kan fjernstyres af uautoriserede brugere, hvilket potentielt kompromitterer patientdata og enhedens funktionalitet. CMS8000 kom på markedet omkring 2005 og fik FDA 510(k)-godkendelse i juni 2011.

FDA's anbefalinger til sundhedspersonale og patienter var todelte: Tag stikket ud og stop brugen af ​​enheden, hvis du er afhængig af fjernovervågningsfunktioner. For det andet anbefalede FDA kun at bruge lokale overvågningsfunktioner, såsom at deaktivere trådløse funktioner og frakoble ethernetkabler. Fysiologiske monitorer yder ikke livreddende eller livsforlængende behandling, men de er afgørende for at overvåge tilstanden hos patienter i risikozonen. Patientmonitorer overvåges centralt for hurtigt at underrette plejepersonalet om ændringer i patientens tilstand. Hurtig reaktion kan være forskellen mellem gode og dårlige resultater.

Contec CMS8000-sårbarhederne, som CISA har afsløret og FDA, Claroty og Cylera har analyseret, fremhæver det kritiske behov for robuste cybersikkerhedsforanstaltninger i sundhedsvæsenet. Det fremhæver også, at sårbarheder kan stamme fra usikkert design snarere end ondsindede hensigter, og at deres potentielle indvirkning på patientsikkerhed og datasikkerhed ikke kan undervurderes. Sundhedsudbydere bør handle hurtigt for at afbøde disse risici og sikre integriteten af ​​deres medicinske udstyr.

Læs hele bloggen i TechNation. Klik her

Health-ISAC Medical Device Security Blog i TechNation

Skrevet af Phil Englert, Health-ISAC VP for Medical Device Security

Inden for sundhedssektoren er det altafgørende at sikre medicinsk udstyrs sikkerhed og effektivitet. Alt for ofte fokuserer cybersikkerhed på sårbarheder, og selvom det er vigtigt, er sårbarhedsanalysen for snæver. Sårbarheder evalueres ved hjælp af Common Vulnerability Scoring System (CVSS), som forsøger at bestemme, hvor farlig en sårbarhed er. Dette er nyttig information, men den tager højde for sårbarhedsrisikoen i den komponent, den befinder sig i, snarere end produktet. Dette begrænsede overblik undlader at tage højde for de risici, som sårbarheden udgør for et specifikt miljø. Kontekstuelle faktorer såsom aktivernes betydning, hvordan aktivet bruges, eller de på plads kontroller, enten i produktet eller i netværket, skal også tages i betragtning ved risikovurdering. I betragtning af disse begrænsninger er det at udføre en risikokonsekvensanalyse for medicinsk udstyr (MDRIA) en kritisk proces, der hjælper sundhedsudbydere med at identificere, vurdere og afbøde risici forbundet med medicinsk udstyr. Dette essay skitserer de væsentlige komponenter i en MDRIA.

Læs hele bloggen i TechNation.  Klik her