सुरक्षा सप्ताह 05: चिकित्सा उपकरणों की महत्वपूर्ण कमजोरियाँ

23 जनवरी को साइबर खतरों के लिए जिम्मेदार अमेरिकी डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी डिवीजन ने चिकित्सा उपकरणों ( समाचार , स्रोत दस्तावेज ) में छह गंभीर कमजोरियों के बारे में जानकारी जारी की। जीई अस्पताल के उपकरणों में समस्याएं पाई गईं, जिसमें कारस्केप बी ६५०, ६५०, और monitors५० मेडिकल मॉनिटर शामिल हैं। सीवीएसएसवी ३ पैमाने पर, पांच कमजोरियों ने १० अंक बनाए - उच्चतम रेटिंग जो विशेष कौशल के बिना रिमोट ऑपरेशन की संभावना को इंगित करती है। विशेष उपकरणों में समस्याओं पर डेटा का खुलासा अक्सर होता है और आपको ऐसे उपकरणों की सुरक्षा के स्तर का आकलन करने की अनुमति देता है।



ऊपर दिए गए फोटो में, संदेश में वर्णित उपकरणों में से एक Carescape B650 मॉनिटर है। साइट पर कोई विनिर्देश नहीं हैं, और यहां तक ​​कि डेटाशीट भी उपयोग किए गए हार्डवेयर प्लेटफ़ॉर्म और ऑपरेटिंग सिस्टम को इंगित नहीं करता है। लेकिन दस्तावेज़ में तारीख (2010) ऐसे उपकरणों की स्पष्ट समस्या को इंगित करता है: यह महंगा है, इसका उपयोग लंबे समय तक किया जाता है। वास्तव में, यह एक 15 इंच डिस्प्ले वाला एक स्वतंत्र कंप्यूटर है, जो स्वायत्त रूप से काम करने में सक्षम है और डेटा ट्रांसफर के लिए एक वायर्ड या वायरलेस नेटवर्क से कनेक्ट होता है।

इस डिवाइस के लिए दो कमजोरियाँ प्रासंगिक हैं: CVE-2020-6962 वेब इंटरफ़ेस में दर्ज डेटा के सत्यापन के साथ एक समस्या का वर्णन करता है, जिससे मनमाना कोड का निष्पादन हो सकता है। CVE-2020-6965, जाहिरा तौर पर, एक असुरक्षित सॉफ़्टवेयर अपडेट सिस्टम पर संकेत देता है जो आपको प्राधिकरण के बिना मॉनिटर पर मनमानी फ़ाइलों को अपलोड करने की अनुमति देता है।

अन्य कमजोरियों के विवरण में सर्वर उपकरणों में रिमोट एक्सेस के लिए एम्बेडेड एसएसएच कुंजी, एसएमबी प्रोटोकॉल के माध्यम से एक्सेस के लिए एम्बेडेड डेटा, प्राधिकरण के बिना कीस्ट्रोक्स को दूरस्थ रूप से प्रसारित करने की क्षमता और कमजोर एन्क्रिप्शन को वीएनसी प्रोटोकॉल के माध्यम से कनेक्ट करना शामिल है। साइबरएमएक्सएक्स द्वारा सभी छह कमजोरियों की खोज की गई थी, उनके बारे में थोड़ा और इस अध्ययन में ब्लेपिंग कंप्यूटर वेबसाइट पर वर्णित किया गया है। वे दोनों लिनक्स-आधारित प्रणालियों को प्रभावित करते हैं, जहां वेबमिन व्यवस्थापक पैनल के पुराने संस्करण में समस्या का पता चला था, और विंडोज एक्सपी एंबेडेड पर आधारित "फ़ील्ड" डिवाइस (यह वहां था कि उन्हें एसएमबी के माध्यम से एक्सेस के लिए वायर्ड पासवर्ड मिला था)। पुराने संस्करण या गलत कॉन्फ़िगरेशन रिमोट कीबोर्ड एक्सेस (मल्टीमाउस और कावूम! सॉफ्टवेयर) के लिए भी जिम्मेदार हैं।



अमेरिकी एजेंसी की सिफारिशें स्पष्ट हैं: चिकित्सा उपकरणों के साथ नेटवर्क को अलग करना, एसएसएच, वीएनसी, एसएमबी प्रोटोकॉल के माध्यम से दूरस्थ पहुंच को रोकना, प्रबंधन सर्वरों के लिए भौतिक पहुंच को रोकना, डिफ़ॉल्ट पासवर्ड बदलना और कर्मियों द्वारा सुरक्षित पासवर्ड का उपयोग करने का अभ्यास शुरू करना। डिवाइस निर्माता कुछ कमजोरियों को बंद करने के लिए काम कर रहा है, लेकिन पैच की रिहाई अभी तक रिपोर्ट नहीं की गई है।

चिकित्सा उपकरणों में कमजोरियां सीधे लोगों के जीवन को खतरा देती हैं। प्रैक्टिकल हमले, जिसके बारे में जानकारी मीडिया में आती है, मुख्यतः डेटा एन्क्रिप्शन तक सीमित होती है, इसके बाद जबरन वसूली ( उदाहरण , दूसरा उदाहरण ) होती है। लंबे जीवन, अनियमित सॉफ़्टवेयर अपडेट और सुरक्षा ऑडिट के साथ विशिष्ट उपकरण संगठन के कंप्यूटर नेटवर्क में प्रवेश बिंदु के रूप में काम कर सकते हैं। पारंपरिक हमलों को कंप्यूटर उपकरणों के साथ जोड़तोड़ के बाद किया जाता है जो निर्धारित करते हैं, उदाहरण के लिए, एक दवा की खुराक ( उदाहरण )। सौभाग्य से, ऐसे परिदृश्य आमतौर पर केवल प्रयोगशाला में लागू किए जाते हैं। किसी भी मामले में, चिकित्सा आईटी बुनियादी ढांचे को महत्वपूर्ण रूप से वर्गीकृत किया जा सकता है। और ऊर्जा उद्योग के विपरीत, अस्पतालों और क्लीनिकों में अक्सर धन की पुरानी कमी का सामना करना पड़ता है।

और क्या हुआ?

ट्रेंड माइक्रो ने एक गैर-मौजूद कंपनी की साइट और मेल सर्वर के साथ एक यथार्थवादी औद्योगिक उत्पादन हैंपोट भी बनाया । एक विस्तृत रिपोर्ट में हनीपोट के काम के छह महीने के परिणामों को दिखाया गया है। कुछ भी विशेष रूप से दिलचस्प नहीं है: एन्क्रिप्शन ट्रोजन द्वारा हमले, और एक मामले में हमला नकली था। किसी ने अपने हाथों से फाइलों के एक पैकेट का नाम बदला और फिरौती की मांग की। दुर्लभ मामलों में, औद्योगिक नियंत्रकों को नियंत्रित करने का प्रयास किया गया था, लेकिन यह प्रयोगों से परे नहीं था (एक मामले में, प्रयोग वर्चुअल मशीन के सफल समापन में समाप्त हो गया)।

सिस्को वेबेक्स कॉन्फ्रेंसिंग सेवा में एक गंभीर भेद्यता का पता चला है। यदि आप कॉन्फ्रेंस कॉल नंबर जानते हैं, तो आप इसे मोबाइल डिवाइस से प्राधिकरण के बिना कनेक्ट कर सकते हैं। सॉफ्टवेयर के मोबाइल संस्करणों को अद्यतन करके हल किया गया।



कैस्परस्की लैब ने मैकओएस चलाने वाले कंप्यूटरों के उद्देश्य से शायलर ट्रोजन की जांच की । हां, हमलावर अभी भी फ़्लैश प्लेयर को अपग्रेड करने की पेशकश करते हैं। लेकिन ट्रोजन फैलाने के नए तरीकों का उपयोग टोरेंट के साथ साइटों पर पारंपरिक बैनर के अलावा किया जाता है। YouTube पर विकिपीडिया और वीडियो विवरण में दुर्भावनापूर्ण लिंक सम्मिलित करने का प्रयास किया गया।

सिस्को फायरपावर मैनेजमेंट सेंटर वेब इंटरफ़ेस में एक प्राधिकरण बाईपास भेद्यता की खोज की गई थी, जिसका उपयोग नेटवर्क उपकरणों का प्रबंधन करने के लिए किया जाता है।

सफ़ारी ने ब्राउज़र में उपयोगकर्ताओं के लिए अपर्याप्त गोपनीयता सुरक्षा की खोज की । मीडिया से जानकारी, शोधकर्ताओं की एक तकनीकी रिपोर्ट (Google से) अभी तक प्रकाशित नहीं हुई है।

ताजा डेटा लीक: Microsoft ने लगभग एक महीने तक 14 साल तक जानकारी के साथ एक तकनीकी सहायता डेटाबेस खुला रखा । यदि डेटाबेस हमलावरों के पास आया, तो इसका उपयोग "माइक्रोसॉफ्ट की ओर से" प्रभावी सोशल इंजीनियरिंग के लिए किया जा सकता है, जो पहले से ही पश्चिम में एक गंभीर समस्या है।