Vulnérabilités de sécurité détectées dans le système cardiovasculaire IntelliSpace de Philips (ISCV)

Publié par Abeerah Hashim Traduction Yomane sur 27 Août 2018, 17:57pm

Catégories : #Failles & Alertes de Sécurité

Les derniers dispositifs médicaux présentent une utilisation merveilleuse de la technologie pour la surveillance et les traitements des patients. Cependant, ces dispositifs menacent également la confidentialité et la sécurité des patients en raison de vulnérabilités. Récemment, ICS-CERT a découvert diverses vulnérabilités de cybersécurité dans le système IntelliSpace de Philips. Ces vulnérabilités permettent aux pirates d'accéder au système et de voler des informations sur les patients.

Vulnérabilités dans Philips IntelliSpace System (ISCV)

Cette semaine, l'équipe de préparation en cas d'urgence cybernétique (ICS-CERT) de Industrial Control Systems a découvert des vulnérabilités en matière de cybersécurité dans le système cardiovasculaire IntelliSpace de Philips (ISCV). Ils ont divulgué leurs conclusions dans une alerte qu'ils ont publié le 14 août 2018.

Deux vulnérabilités différentes auraient été détectées dans le système IntelliSpace de Philips, permettant aux pirates de voler des informations sur les patients. Expliquant comment ces failles pourraient déclencher des attaques, le rapport indique que l’exploitation de ces vulnérabilités pourrait permettre à des attaquants d’exécuter du code arbitraire, d’obtenir un accès administratif local et d’augmenter les privilèges.

Comme décrit dans leur rapport ,

"Une exploitation réussie de ces vulnérabilités pourrait permettre à un attaquant ayant un accès local et des privilèges d’utilisateur au serveur ISCV / Xcelera d’augmenter les privilèges sur le serveur ISCV / Xcelera et d’exécuter du code arbitraire."

ICS-CERT a identifié ces vulnérabilités comme Gestion de privilèges incorrecte (CVE-2018-14787) et Chemin ou élément de recherche non coté (CVE-2018-14789). Heureusement, aucune de ces vulnérabilités n'est critique. CVE-2018-14787 a un score de base de 7,3 (niveau de gravité moyen à élevé) nécessitant un niveau de compétence faible à exploiter. En effet, pour exploiter cette faille, un attaquant doit d'abord exploiter une autre vulnérabilité ou un statut d'utilisateur légitime pour accéder au logiciel système.

Philips corrigera les défauts des prochaines versions

Selon ICS-CERT, les vulnérabilités signalées affectent IntelliSpace Cardiovascular, version 3.1, et Xcelera Version 4.1, ou leurs versions antérieures respectives. Heureusement, les deux défauts restent inexploités. Philips a également signalé l'affaire au Centre national d'intégration de la cybersécurité et des communications (NCCIC).

En ce qui concerne le correctif de ces vulnérabilités, pour les versions antérieures d’ISCV et de Xcelera, Philips suggère de mettre à niveau vers la dernière version d’ISCV 3.1. Considérant que, pour d' autres vulnérabilités dans les dernières versions de logiciels, Philips publiera des correctifs dans le ISCV à venir 3.2, prévue pour en Octobre 2018. En attendant Philips recommande de limiter l' accès au réseau aux systèmes, l' examen et la restriction des autorisations de fichiers, et en utilisant des VPN sécurisés pour l'accès à distance.

Les vulnérabilités de sécurité dans les logiciels médicaux ne sont pas nouvelles. Il y a quelques jours, des vulnérabilités critiques en matière de sécurité ont été découvertes dans OpenEMR , mettant ainsi 90 millions d'enregistrements à risque. Peut-être que l'hôpital et les installations médicales concernées doivent rester vigilants pour garantir la confidentialité et la sécurité des données des patients.