Pour plus d'informations sur la communication de vulnérabilités constatées dans les produits de GE Santé, veuillez cliquer ici pour consulter la Déclaration de vulnérabilité coordonnée de GE Santé.
21 août 2019
Failles de la pile TCP/IP (IPNet) VxWorks
Wind River a collaboré avec des chercheurs en sécurité sur la divulgation de plusieurs failles de sécurité d'importance critique, élevée et moyenne dans la pile TCP/IP utilisée par vxWorks (IPnet). VxWorks, y compris les versions 6.5 et ultérieures, sont affectées par un ou plusieurs des 11 CVE.
GE Santé examine activement les produits qui utilisent les versions RTOS de VxWorks affectées par les 3 vulnérabilités critiques et les 8 vulnérabilités non critiques, CVE-2019-12255 à CVE-2019-12265.
Les évaluations initiales du produit sont terminées. Les équipes GE Healthcare procèdent actuellement à des évaluations approfondies de tous les produits potentiellement affectés afin de définir les risques et des actions correctives. Dans les prochains jours ou les prochaines semaines, les résultats de ces évaluations, et notamment des correctifs validés et instructions relatives à l'installation des correctifs, seront mis à jour au fur et à mesure.
Cette déclaration sera mise à jour dès que nous aurons plus d'informations et nous informerons les clients via notre portail GE Santé de sécurité des produits (https://securityupdate.gehealthcare.com/) si des produits sont suspectés ou connus comme étant à risque.
14 août 2019
MS CVE-2019-1181 et CVE-2019-1182 - Vulnérabilité de l'exécution du code des services de bureau à distance)
GE Santé est tenue au courant des alertes de Microsoft de façon à ce que les utilisateurs de différentes versions de Windows puissent appliquer des mises à jour critique de Windows. Microsoft a corrigé une vulnérabilité critique d'exécution du code à distance dans Remote Desktop Services qui existe dans ce qui suit : Windows 7 SP1, Windows 8.1, Windows 10 et les versions serveur Windows comme Windows Server 2008 R2 et Windows Server 2012. Nous effectuons des évaluations de nos produits afin d'identifier tout impact potentiel. Cette déclaration sera mise à jour dès que nous aurons plus d'informations et nous informerons les clients via notre portail de gestion des vulnérabilités (https://securityupdate.gehealthcare.com/) si des produits sont suspectés ou connus pour être à risque.
16 juillet 2019
Conseils d'ICS concernant les appareils d'anesthésie de GE
Mise à jour : Après une enquête plus approfondie et par soucis de prudence, GE Santé met à jour l'énoncé affiché précédemment et en avise directement les utilisateurs. Veuillez consulter les informations ci-dessous dans leur intégralité.
Sommaire
GE Santé est au courant d'une divulgation faite par ICS-CERT/CISA décrivant comment la connexion d'un port série d'appareil via un serveur de terminal de tierce partie additionnel et inadéquatement sécurisé à un réseau hospitalier peut entraîner un accès non autorisé à certains appareils d'anesthésie de GE Santé. Cette faille n'est pas présente sur l’appareil d'anesthésie lui-même, mais peut survenir si les utilisateurs ont connecté l’appareil à des serveurs de terminal réseau de tierce partie inadéquatement sécurisés.
La faille peut impacter les appareils d'anesthésie de GE Santé de quatre manières :
- Capteur de débit
Bien que cela soit extrêmement improbable, un serveur de terminal inadéquatement sécurisé peut permettre à un acteur malveillant qui a déjà pénétré le réseau de l'hôpital d'envoyer des paramètres de correction de capteurs de débit frauduleux à certains produits (voir tableau). Un serveur de terminal est un accessoire qui peut être obtenu auprès d'un fournisseur tiers (autre que GE Santé) en dehors de la configuration standard du produit. Si des paramètres de correction frauduleux de capteurs de débit sont envoyés, la calibration du capteur de débit pourrait être affectée et occasionner une délivrance excessive du volume courant à un patient si la ventilation en volume contrôlé est utilisée. Une surdose de volume courant pourrait, dans de rares cas, théoriquement, entraîner une augmentation du risque de lésions pulmonaires. En outre, une administration insuffisante peut théoriquement se produire et entraîner une administration trop faible du volume total de gaz. Si cela se produisait sans intervention clinique normale, l'oxygénation ou la ventilation du patient pourrait théoriquement être compromise.
Remarque : les systèmes d'anesthésie concernés sont équipés de commandes de gaz analogiques et d'un vaporisateur mécanique. Par conséquent, il n'est pas possible de régler à distance le mélange de gaz ou les niveaux de médicaments.
- Alarme
Les alarmes peuvent être désactivées par un acteur malveillant, mais uniquement après le déclenchement de l'alarme sonore initiale. Les alarmes visuelles continuent de s'afficher et sont disponibles pour le médecin traitant. De plus, toute nouvelle alarme rompt par la commande de désactivation d'alarme et déclenche une alerte sonore pour l'utilisateur. Les appareils d'anesthésie sont qualifiés comme « appareils sous surveillance » lorsqu'un clinicien hautement qualifié surveille en permanence l’appareil et il est peu probable que ce scénario entraîne des blessures aux patients.
- Horloge
La date et l'heure de l'appareil peuvent être modifiées par malveillance sur certains produits (voir tableau). Toutefois, cette modification ne peut pas se produire après le démarrage de la procédure patient et n'a pas d'impact sur l'utilisation prévue de l’appareil. L'heure est affichée à l'écran en permanence. Il est très peu probable que ce scénario entraîne des blessures aux patients.
- Poids et âge du patient
Une personne malveillante peut modifier le poids et l'âge du patient sur certains produits (voir tableau). Toutefois, ces paramètres doivent être confirmés et acceptés avant l'utilisation de l’appareil par le clinicien. Ils n'affectent pas automatiquement les performances de l’appareil et ne peuvent pas être modifiés lorsque l’appareil est en cours d'utilisation. Il est très peu probable que ce scénario entraîne des blessures aux patients.
Il n'y a pas eu d'incidents de cyberattaques ou de blessures signalées à GE Santé en raison de ces problèmes.
Appareils concernés
|
Appareil |
1. Scénario Capteur de débit |
2. Scénario Désactivation de l'alarme |
3. Scénario Horloge |
4. Scénario Poids et âge |
|
Aespire 7100 / 100 / Protiva / Carestation |
Ouia, version logicielle 1.x |
Oui |
Non |
Non |
|
Aestiva 7100 |
Ouib, version logicielle 1.x |
Oui |
Non |
Non |
|
Aestiva 7900 |
Ouic, versions logicielles 1.x, 2.x, 3.x |
Oui |
Non |
Non |
|
IRM Aestiva |
Ouid, version logicielle 3.x |
Oui |
Non |
Non |
|
Aespire 7900 |
Non |
Oui |
Non |
Non |
|
Aespire View |
Non |
Oui |
Non |
Non |
|
Aisys, Aisys CS2, Avance, Amingo, Avance CS2 |
Non |
Oui |
Oui |
Oui |
|
Carestation 620/650/650c |
Non |
Oui |
Oui |
Oui |
a Appareils fabriqués avant octobre 2010.
b Appareils fabriqués avant février 2014.
c Appareils fabriqués avant mars 2004.
d Appareils fabriqués avant juillet 2014.
Recommandations en matière de sécurité
GE Santé recommande aux organisations d'utiliser des serveurs de terminal sécurisés si elles choisissent de connecter les ports série de l’appareil d'anesthésie de GE Santé aux réseaux TCP/IP. Les serveurs de terminal sécurisés, lorsqu'ils sont correctement configurés, offrent des fonctionnalités de sécurité robustes, notamment un niveau de cryptage élevé, un VPN, l'authentification des utilisateurs, des contrôles réseau, une capacité de création de rapport et d'audit et des options de configuration et de gestion sécurisées de l’appareil.
GE Santé recommande aux organisations d'utiliser les meilleures pratiques pour les serveurs de terminal qui incluent des mesures de gouvernance, de gestion et de déploiement sécurisé, telles que la segmentation du réseau, les réseaux VLAN et l'isolation des appareils, afin de renforcer les mesures de sécurité existantes.
Pour toute question, veuillez contacter le représentant GE de votre région.
Pour plus d'informations sur ICS-CERT/CISA, veuillez consulter : https://www.us-cert.gov/ics/advisories/icsma-19-190-01
Article original : 14 mai 2019 – Dernière mise à jour : 21 mai 2019
BlueKeep (MS CVE-2019-0708 - Vulnérabilité de l'exécution du code des services de bureau à distance)
Mise à jour : Des évaluations initiales des produits ont été effectuées; les clients de GE Santé peuvent obtenir une vue par produit des régions potentiellement touchées en fonction d'une évaluation préliminaire de l'applicabilité. Tous les produits potentiellement affectés sont en cours d'évaluation par les équipes internes de GE Santé afin de déterminer des mesures correctives; au cours des prochains jours ou semaines, les résultats de ces évaluations, notamment des correctifs validés et des instructions pour l'installation de ceux-ci seront actualisés sur le portail de gestion des vulnérabilités à mesure que celles-ci seront disponibles.
Message original : GE Santé est tenue au courant des alertes de Microsoft de façon à ce que les utilisateurs de différentes versions de Windows puissent appliquer une mise à jour critique de Windows. Microsoft a corrigé une vulnérabilité critique d'exécution du code à distance dans Remote Desktop Services qui existe dans ce qui suit : Windows XP, Windows 7, et versions de Windows Server comme Windows Server 2003, Windows Server 2008 R2 et Windows Server 2008. Microsoft a distribué des correctifs pour Windows XP et Windows Server 2003 en particulier, même si ces deux systèmes d'exploitation ne sont plus supportés. Nous effectuons des évaluations de nos produits afin d'identifier tout impact potentiel. Cette déclaration sera mise à jour dès que nous aurons plus d'informations et nous informerons les clients via notre portail de gestion des vulnérabilités (https://securityupdate.gehealthcare.com/) si des produits sont suspectés ou connus pour être à risque.
Vulnérabilité des accessoires Silex Bridge dans les appareils ECG de GE Santé
GE Santé est conscient qu'un chercheur en sécurité a découvert deux failles de sécurité dans un pont Silexsans fil utilisé comme accessoire optionnel dans certains produits ECG de GE Santé. Si elles sont exploitées, ces vulnérabilités pourraient permettre à un acteur malveillant d'interférer avec les communications entre le produit et le réseau de l'hôpital. GE est au courant d'aucune exploitation réelle de ces vulnérabilités. Les voies d'exploitation potentielles n'affectent pas la fonction clinique des appareils impactés. Ces informations ont été rendues publiques le 8 mai 2018 via l'avis ICS-CERT « ICSMA-18-128-01 Silex Technology SX-500/SD-320AN or GE Healthcare MobileLink » au lien suivant : https://ics-cert.us-cert.gov/advisories/ICSMA-18-128-01 .
Cet accessoire optionnel de passerelle peut être utilisé avec les systèmes MAC 3500, MAC 5000 (fin de vie du produit en 2012), MAC 5500, et MAC 5500 HD de GE Santé. La vulnérabilité constatée affecte cet accessoire et sa fonction comme passerelle vers le réseau hospitalier. L'exploitation de la vulnérabilité exige une proximité par rapport aux appareils et n'aurait aucune incidence sur la fonction clinique ou la protection des données.
Les deux vulnérabilités et les méthodes d'atténuation sont :
- CVE-2018-6020, GEH-500 version 1.54 et antérieures (intégré dans GE MobileLink). Atténuation : Activez le compte « mise à jour » dans l'interface Web qui n'est pas activé par défaut. Définissez le mot de passe secondaire pour le compte « mise à jour » afin de prévenir toute modification non authentifiée de la configuration de la passerelle.
- CVE-2018-6021, GEH-SD-320AN version GEH-1.1 et antérieures (intégré dans GE MobileLink). Atténuation : La mise à jour du micrologiciel Silex est approuvée par GE Santé et les clients peuvent télécharger la mise à jour et les instructions via ce lien : http://silextechnology.com/geh320an/
La sécurité des appareils médicaux est une priorité absolue pour GE Santé, et nous continuerons de travailler avec nos clients dans le but de fournir des soins de santé sûrs et sécuritaires.
Avis de NCCIC/ICS-CERT sur les appareils médicaux concernant les appareils médicaux de GE
Le National Cybersecurity and Communications Integration Center for Industrial Control Systems (NCCIC/ICS-CERT) a publié un avis concernant l'utilisation des justificatifs d'identité par défaut dans certains produits de GE Santé. Cet avis de NCCIC/ICS-CERT constitue une mise à jour d'un bulletin US-CERT qui a été publié en août 2015, et tous les renseignements sur les justificatifs d'identité par défaut ont déjà été rendus publics dans le bulletin US-CERT de 2015.
Contexte
En 2015, un chercheur a soumis à ICS-CERT des informations concernant l'utilisation de mots de passe par défaut ou codés en dur dans certains produits de GE Santé. Ces mots de passe ont été indiqués dans des manuels d'utilisation ou d'entretien qui ont été rendus disponibles dans une bibliothèque de ressources de GE Santé accessible aux clients sous la forme de copies papier et sur Internet. Ces informations ont ensuite été fournies par le chercheur à l'US-CERT et publiées dans le bulletin SB15-222 de l'US-CERT, publié le 10 août 2015. Les pointages de risque donnés dans ce bulletin n'ont pas été analysés avec GE Santé avant la publication et ne reflètent aucune évaluation technique du risque lié au produit. Suite à une enquête, GE Santé a déterminé que la plupart des mots de passe étaient modifiables selon la documentation existante des produits, alors que certains mots de passe ne comportaient pas de processus de modification dans la documentation existante. GE Santé reconnaît que les meilleures pratiques actuelles de l'industrie comprennent des restrictions et des mesures de protection sur l'utilisation des mots de passe et continuera de répondre aux demandes d'aide des clients pour changer ces mots de passe.
Processus d'évaluation des risques de GE Santé
GE Santé a examiné la question du mot de passe soulevée par l'avis NCCIC/ICS-CERT dans le cadre d'un processus de gestion des risques établi portant sur les risques liés à la sécurité, ainsi que sur les risques généraux liés à la confidentialité, à l'intégrité et à la disponibilité des actifs matériels. L'évaluation des risques de GE Santé a conclu que le risque pour la sécurité de ces produits est à un niveau jugé raisonnable. Cette conclusion est appuyée par notre surveillance antérieure et continue des produits utilisés, ainsi que par les évaluations des risques pour la sécurité effectuées au cours du processus de conception des produits. Tous ces produits ont fait l'objet d'une observation continue post-commercialisation et GE Santé n'a noté aucun événement indésirable lié à la sécurité ou à la confidentialité, à l'intégrité ou à la disponibilité de ces appareils causé par une utilisation frauduleuse de ces mots de passe. La conception de ces produits comprend des mesures d'atténuation des risques potentiels pour la sécurité associés à une utilisation frauduleuse des mots de passe. GE Santé continuera de surveiller nos produits pour repérer des événements liés à la sûreté et à la sécurité et de répondre aux besoins de nos clients en matière d'information sur la sécurité de nos appareils.
Conseils de GE Santé sur le rançongiciel Petya
GE Santé est au courant des récents cas d'un événement de rançongiciel répandu, connu sous le nom de « Petya », qui affecte des entités à l'échelle mondiale dans une grande variété d'industries. Selon les informations présentement disponibles, il semble qu'une méthode de distribution courante du rançongiciel Petya est l'hameçonnage au moyen d'un document malveillant (p. ex., un courriel). Semblable au récent événement WannaCry, une fois que le rançongiciel est installé sur un système, Petya crypte le disque dur et réclame une rançon Bitcoin pour le déverrouiller.
On ne prévoit pas pour l'instant d'impact sur les appareils de GE Santé qui ont reçus des correctifs pour remédier à la vulnérabilité MS17-010 SMBv1 (WannaCry). Cependant, les logiciels et les appareils qui n'ont pas encore été corrigés pour MS17-010 SMBv1 restent vulnérables au rançongiciel Petya. GE Santé recommande d'appliquer les correctifs nécessaires dès que possible. Pour plus d'informations concernant des appareils ou produits spécifiques de votre gamme installée, veuillez contacter votre représentant GE Service ou le centre d'appels GE Service.
GE Santé continuera de surveiller la situation et fournira des mises à jour au besoin.
Conseils de GE Santé sur le rançongiciel WannaCry
Vue d'ensemble et contexte
GE Santé surveille de près une opération de rançon en cours connue sous le nom de WannaCry, WCry ou Wanna Decryptor, qui cible les systèmes Windows dans le monde entier. Le « rançongiciel » WannaCry (une forme de logiciel malveillant) se propage soit par des campagnes d'hameçonnage, soit par la vulnérabilité Microsoft MS17-010 SMBv1. Une fois que WannaCry est installé sur un appareil, il crypte les données sur l'appareil et réclame une rançon de bitcoin en échange de la libération des données et du déverrouillage de l'appareil.
Réponse initiale de GE Santé
GE Santé a mis en place une équipe interfonctionnelle d'ingénierie, de cybersécurité, de services et de technologie pour procéder à un examen complet de l'ensemble des produits. Nos équipes à travers le monde surveillent continuellement la situation pour s'assurer que les clients et leurs équipes de services ont accès aux informations les plus à jour disponibles dans une situation très dynamique.
Correctif Microsoft
Microsoft a lancé un correctif pour toutes les versions de Microsoft Windows actuellement prises en charge, notamment Windows Vista, Windows 7, Windows 8.1 et Windows Server 2008 à 2016. En outre, depuis l'attaque, Microsoft a publié des correctifs pour Windows XP, Windows 8 et Windows Server 2003. Pour plus d'informations sur la gestion par Microsoft de cet incident de sécurité, cliquez ICI.
À quoi faut-il s'attendre?
GE Santé s'engage à soutenir nos clients dans la maintenance de leurs systèmes et produits de manière cybersécurisée. Si les clients ont été affectés par un rançongiciel, ou s'ils ont des inquiétudes par rapport à un produit particulier, ils sont invités à contacter leur représentant GE Service ou leur centre d'appels GE Service. Bien que chaque client se trouve dans une situation unique, en général, pour tout appareil avec une version Microsoft pour laquelle Microsoft a publié un correctif (voir ci-dessus), le suivi consiste probablement à installer un correctif approuvé par Microsoft qui est installé par le client ou par notre équipe des services.
Nous élaborons des conseils pratiques pour le processus d'installation et distribuons ces conseils par l'intermédiaire des équipes de services et de centre d'appels de GE Santé pour répondre aux questions des clients.
GE Santé fournit aux représentants de services des mises à jour continues de la part de Microsoft et des entités de l'industrie pour s'assurer que les clients reçoivent les toutes dernières informations. Nous nous engageons à travailler avec nos clients et d'autres parties prenantes pour mettre en œuvre des mesures de sécurité des produits robustes afin de protéger l'intégrité des soins aux patients partout dans le monde.