Vulnerabilidad de Contec CMS8000: ¿Un problema crítico de ciberseguridad o una mala práctica de codificación?

Blog de seguridad de dispositivos médicos de Health-ISAC en TechNation

Escrito por Phil Englert, vicepresidente de seguridad de dispositivos médicos de Health-ISAC

El 30 de enero de 2025, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicó el aviso médico ICSMA-25-030-01, que destaca vulnerabilidades críticas en los monitores de pacientes Contec CMS8000. Estas vulnerabilidades, que incluyen escritura fuera de límites, una puerta trasera oculta y fugas de privacidad, representan riesgos significativos para la seguridad del paciente y la seguridad de los datos. La Administración de Alimentos y Medicamentos de los Estados Unidos (FDA) emitió un comunicado de seguridad ese mismo día, enfatizando los riesgos asociados con estas vulnerabilidades. La FDA destacó que el Contec CMS8000 y las versiones reetiquetadas, como el Epsimed MN-120, podrían ser controlados remotamente por usuarios no autorizados, lo que podría comprometer los datos del paciente y la funcionalidad del dispositivo. El CMS8000 salió al mercado alrededor de 2005 y obtuvo la autorización 510(k) de la FDA en junio de 2011.

Las recomendaciones de la FDA para profesionales de la salud y pacientes fueron dos: desconectar e interrumpir el uso del dispositivo si dependen de las funciones de monitorización remota. En segundo lugar, la FDA recomendó utilizar únicamente las funciones de monitorización local, como desactivar las funciones inalámbricas y desconectar los cables Ethernet. Los monitores fisiológicos no proporcionan tratamientos que salven o mantengan la vida, pero son esenciales para monitorizar el estado de los pacientes en riesgo. Los monitores de pacientes se monitorizan de forma centralizada para notificar con prontitud a los cuidadores sobre los cambios en el estado del paciente. Una respuesta rápida puede marcar la diferencia entre un buen y un mal resultado.

Las vulnerabilidades de Contec CMS8000, reveladas por CISA y analizadas por la FDA, Claroty y Cylera, resaltan la necesidad crítica de contar con medidas robustas de ciberseguridad en entornos sanitarios. También destacan que las vulnerabilidades pueden provenir de un diseño inseguro, más que de intenciones maliciosas, y su impacto potencial en la seguridad del paciente y la seguridad de los datos no debe subestimarse. Los profesionales sanitarios deben actuar con rapidez para mitigar estos riesgos y garantizar la integridad de sus dispositivos médicos.

Lea el blog completo en TechNation. Haga clic aquí

Blog de seguridad de dispositivos médicos de Health-ISAC en TechNation

Escrito por Phil Englert, vicepresidente de seguridad de dispositivos médicos de Health-ISAC

En el sector sanitario, garantizar la seguridad y la eficacia de los dispositivos médicos es fundamental. Con demasiada frecuencia, la ciberseguridad se centra en las vulnerabilidades y, si bien es importante, el análisis de vulnerabilidades es demasiado limitado. Las vulnerabilidades se evalúan mediante el Sistema Común de Puntuación de Vulnerabilidades (CVSS), que intenta determinar su peligrosidad. Esta información es útil, pero considera el riesgo de vulnerabilidad dentro del componente en el que reside, en lugar del producto. Esta visión limitada no considera los riesgos que la vulnerabilidad representa para un entorno específico. Al evaluar el riesgo, también deben considerarse factores contextuales como la importancia del activo, cómo se utiliza o los controles implementados, ya sea dentro del producto o dentro de la red. Dadas estas limitaciones, realizar un Análisis de Impacto de Riesgo de Dispositivos Médicos (MDRIA) es un proceso crucial que ayuda a los profesionales sanitarios a identificar, evaluar y mitigar los riesgos asociados a los dispositivos médicos. Este ensayo describe los componentes esenciales de un MDRIA.

Lea el blog completo en TechNation.  Haga clic aquí