Sicherheitslücke in Contec CMS8000: Ein kritisches Cybersicherheitsproblem oder schlechte Codierungspraxis?

Health-ISAC-Blog zur Sicherheit medizinischer Geräte in TechNation

Verfasst von Phil Englert, Health-ISAC VP of Medical Device Security

Am 30. Januar 2025 veröffentlichte die Cybersecurity and Infrastructure Security Agency (CISA) die medizinische Empfehlung ICSMA-25-030-01, in der auf kritische Schwachstellen in den Patientenmonitoren Contec CMS8000 hingewiesen wurde. Diese Schwachstellen – darunter Out-of-Bounds-Schreibzugriff, versteckte Backdoor-Funktionen und Datenschutzverletzungen – stellen erhebliche Risiken für die Patienten- und Datensicherheit dar. Die US-amerikanische Food and Drug Administration (FDA) veröffentlichte am selben Tag eine Sicherheitsmitteilung, in der sie auf die mit diesen Schwachstellen verbundenen Risiken hinwies. Die FDA betonte, dass der Contec CMS8000 und umbenannte Versionen wie der Epsimed MN-120 von nicht autorisierten Benutzern ferngesteuert werden könnten, wodurch Patientendaten und Gerätefunktionalität gefährdet werden könnten. Der CMS8000 kam um 2005 auf den Markt und erhielt im Juni 510 die FDA 2011(k)-Zulassung.

Die FDA empfahl Gesundheitsdienstleistern und Patienten zweierlei: Trennen Sie das Gerät vom Stromnetz und stellen Sie die Nutzung ein, wenn Sie auf Fernüberwachungsfunktionen angewiesen sind. Zweitens empfahl die FDA, ausschließlich lokale Überwachungsfunktionen zu nutzen, wie z. B. die Deaktivierung von WLAN-Funktionen und das Abziehen von Ethernet-Kabeln. Physiologische Monitore bieten keine lebensrettende oder lebenserhaltende Behandlung, sind aber für die Überwachung des Zustands von Risikopatienten unerlässlich. Patientenmonitore werden zentral überwacht, um Pflegekräfte umgehend über Veränderungen des Patientenzustands zu informieren. Eine schnelle Reaktion kann den Unterschied zwischen guten und schlechten Ergebnissen ausmachen.

Die von der CISA aufgedeckten und von der FDA, Claroty und Cylera analysierten Sicherheitslücken im Contec CMS8000 unterstreichen die dringende Notwendigkeit robuster Cybersicherheitsmaßnahmen im Gesundheitswesen. Sie zeigen auch, dass Sicherheitslücken eher auf unsicheres Design als auf böswillige Absicht zurückzuführen sein können. Ihre potenziellen Auswirkungen auf die Patienten- und Datensicherheit sind nicht zu unterschätzen. Gesundheitsdienstleister sollten rasch handeln, um diese Risiken zu minimieren und die Integrität ihrer Medizinprodukte zu gewährleisten.

Lesen Sie den vollständigen Blog in TechNation. Mehr Info

Health-ISAC-Blog zur Sicherheit medizinischer Geräte in TechNation

Verfasst von Phil Englert, Health-ISAC VP of Medical Device Security

Im Gesundheitswesen ist die Gewährleistung der Sicherheit und Wirksamkeit von Medizinprodukten von größter Bedeutung. Cybersicherheit konzentriert sich allzu oft auf Schwachstellen, und obwohl diese wichtig sind, greift die Schwachstellenanalyse zu kurz. Schwachstellen werden mithilfe des Common Vulnerability Scoring System (CVSS) bewertet, das die Gefährlichkeit einer Schwachstelle zu ermitteln versucht. Diese Informationen sind zwar nützlich, berücksichtigen jedoch das Risiko der Schwachstelle innerhalb der Komponente, in der sie sich befindet, und nicht innerhalb des Produkts. Diese eingeschränkte Sichtweise lässt die Risiken außer Acht, die die Schwachstelle für eine bestimmte Umgebung darstellt. Kontextfaktoren wie die Bedeutung der Anlage, ihre Nutzung oder die vorhandenen Kontrollen – entweder innerhalb des Produkts oder des Netzwerks – müssen bei der Risikobewertung ebenfalls berücksichtigt werden. Angesichts dieser Einschränkungen ist die Durchführung einer Risiko-Auswirkungsanalyse für Medizinprodukte (MDRIA) ein wichtiger Prozess, der Gesundheitsdienstleistern hilft, mit Medizinprodukten verbundene Risiken zu identifizieren, zu bewerten und zu minimieren. Dieser Aufsatz beschreibt die wesentlichen Komponenten einer MDRIA.

Lesen Sie den vollständigen Blog in TechNation.  Mehr Info