Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GE HealthCare upozorňuje na 11 zranitelností
Společnost Nozomi Networks informuje o 11 zranitelnostech, které byly nalezeny v produktech společnosti GE HealthCare, a to v Common Service Desktop a v EchoPAC Software Only. Common Service Desktop je administrativní webová aplikace, předinstalovaná v několika zařízeních GE HealthCare, včetně ultrazvukových zařízení. EchoPAC Software Only je software sloužící k zobrazování a analýze výstupů zařízení od GE HealthCare [1][2]. GE HealthCare neplánuje vydat opravy těchto zranitelností, proto je silně doporučeno omezit síťový přístup k jednotlivým zranitelným instancím pouze na určité důvěryhodné IP adresy a také omezit fyzický přístup pouze na důvěryhodné osoby. Úspěšné zneužití zranitelností by mohlo vést k odcizení nebo poškození dat pacientů, případně ke způsobení nedostupnosti zdravotnických systémů [1][2]. Nejzávažnější zranitelnosti:
Neautentizovanému lokálnímu útočníkovi je v EchoPAC umožněno neoprávněně přistupovat do systému využitím pevně zadaných přihlašovacích údajů [1].
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-27107 na cve.org, NVD
- CWE-798 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 5. 2024.
Neautentizovanému fyzickému útočníkovi je v EchoPAC umožněno neoprávněně přistupovat do systému využitím nedostatečně zabezpečených přihlašovacích údajů [1].
Zranitelnost se nachází v produktu:
- https://www.nozominetworks.com/blog/ge-healthcare-vivid-ultrasound-vulnerabilities
CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-27109 na cve.org, NVD
- CWE-522 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 5. 2024.
Neautentizovanému lokálnímu útočníkovi je v Common Service Desktop umožněno neoprávněně spouštět systémové příkazy [1].
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-1628 na cve.org, NVD
- CWE-78 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 5. 2024.
Neautentizovanému lokálnímu útočníkovi je v Common Service Desktop umožněno provést path traversal útok [1].
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2024-1630 na cve.org, NVD
- CWE-22 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 5. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 20. 5. 2024.