Контакты
Подписка
МЕНЮ
Контакты
Подписка

Philips сообщила о 9 опасных уязвимостях в одном из своих медицинских решений

Philips сообщила о 9 опасных уязвимостях в одном из своих медицинских решений


03.09.2018

Philips сообщила о 9 опасных уязвимостях в одном из своих медицинских решений

омпания Philips обнаружила в одном из своих продуктов e-Alert Unit девять различных опасных уязвимостей, одна из которых является критической и позволяет злоумышленнику удаленно выполнить произвольный код. Проблемы затрагивают версии R2.1 и более ранние.

 Philips e-Alert Unit представляет собой решение, позволяющее контролировать работу медицинских систем визуализации. Оно не является медицинским оборудованием само по себе. Данное решение предупреждает, когда ключевые параметры в аппаратах МРТ не действуют.

 "Успешная эксплуатация данных уязвимостей злоумышленником, находящимся в пределах одной подсети, может привести к компрометации пользовательских данных, нарушить целостность и/или доступность устройства. Уязвимости могут позволить злоумышленникам выполнять произвольный код, получать информацию об устройстве и потенциально добиться сбоя e-Alert", - следует из предупреждения ICS-CERT.

 В частности, в решении обнаружены следующие  уязвимости :

 

  •  Некорректная проверка входных данных (CVE-2018-8850) - внедрение вредоносных данных в форму может привести к произвольному управлению ресурсом или выполнению произвольного кода.

 

  • Межсайтовый скриптинг (CVE-2018-8846) - некорректная проверка входных данных при создании web-страницы.

  •  Раскрытие информации (CVE-2018-14803) - злоумышленник может получить информацию о продукте, которая может быть использована для атаки.

  •  Некорректные разрешения по умолчанию (CVE-2018-884) - программное обеспечение устанавливает некорректные разрешения во время установки.

  •  Отправка данных в виде простого текста (CVE-2018-8842) - критически важные для безопасности данные передаются по незашифрованному каналу, позволяя раскрыть необходимую для авторизации информацию.

  •  Межсайтовая подделка запросов (CVE-2018-8844) - недостаточная проверка источника сформированного запроса.

  •  Фиксация сеанса (CVE-2018-8852) - злоумышленник может перехватить аутентифицированною сессию без аннулирования существующих идентификаторов.

  •  Исчерпание ресурсов (CVE-2018-8854) - программное обеспечение не может ограничить объем расходуемых ресурсов.

  •  Использование неизменяемых учетных данных (CVE-2018-8856) - программное обеспечение шифрует внутренние данные с помощью неизменяемого криптографического ключа.

 В июне текущего года Philips выпустила обновление, устраняющее некоторые проблемы. Компания планирует исправить остальные уязвимости до конца 2018 года.

Securitylab