Pour plus d'informations sur le signalement de vulnérabilités constatées dans les produits de GE Healthcare, cliquer ici pour consulter la Déclaration de Divulgation coordonnée de vulnérabilités de GE Healthcare.

Le 21 août 2019

Vulnérabilités de la pile TCP/IP (IPNet) VxWorks

Wind River a collaboré avec des chercheurs en sécurité sur la divulgation de plusieurs failles de sécurité d'importance critique, élevée et moyenne dans la pile TCP/IP utilisée par vxWorks (IPnet). Le système d’exploitation VxWorks (versions 6.5 et ultérieures) est affecté par une à plusieurs des 11 vulnérabilités CVE.

GE Healthcare examine activement les produits qui utilisent les versions RTOS de VxWorks affectées par les 3 vulnérabilités critiques et les 8 vulnérabilités non critiques, CVE-2019-12255 à CVE-2019-12265.

Les évaluations initiales des produits sont terminées. Les équipes internes de GE Healthcare procèdent actuellement à des évaluations approfondies de tous les produits potentiellement affectés afin de déterminer les risques et définir des actions correctives. Dans les prochains jours ou les prochaines semaines, les résultats de ces évaluations, et notamment des correctifs validés et les instructions relatives à l'installation des correctifs, seront régulièrement communiqués.

Cette annonce sera actualisée lorsque davantage d’informations seront disponibles, et nous avertirons nos clients par le biais du portail dédié à la sécurité des produits GE Healthcare (https://securityupdate.gehealthcare.com/) si nous identifions des produits menacés.

Le 14 août 2019

MS CVE-2019-1181 et CVE-2019-1182 - Vulnérabilités relatives à l'exécution du code à distance des services Bureau à distance

GE Healthcare a pris connaissance des rapports Microsoft destinés aux utilisateurs de différentes versions de Windows leur indiquant d'appliquer des mises à jour critiques Windows.  Microsoft a corrigé une vulnérabilité critique relative à l'exécution du code à distance des services Bureau à distance sur les versions suivantes : Windows 7 SP1, Windows 8.1, Windows 10 et certaines versions de Windows Server telles que Windows Server 2008 R2 et Windows Server 2012. Nous effectuons des évaluations de nos produits afin d'identifier tout impact potentiel. Cette annonce sera actualisée lorsque davantage d’informations seront disponibles, et nous avertirons nos clients par le biais du portail dédié à la sécurité des produits GE Healthcare (https://securityupdate.gehealthcare.com/) si nous identifions des produits menacés.

Le 16 juillet 2019

Conseils d'ICS concernant les dispositifs d'anesthésie GE

Mise à jour : après une enquête approfondie et pour plus de sécurité, GE Healthcare met à jour la déclaration précédemment publiée et en informe directement les utilisateurs. Veuillez consulter les informations ci-dessous dans leur intégralité.

Récapitulatif

GE Healthcare a pris connaissance d'une publication d'ICS-CERT/CISA décrivant comment la connexion d'un port série de dispositif via un serveur de terminal tiers complémentaire et insuffisamment sécurisé à un réseau hospitalier peut entraîner un accès non autorisé à certains dispositifs d'anesthésie GE Healthcare. Cette faille n'est pas présente sur le dispositif d'anesthésie lui-même, mais peut survenir si les utilisateurs ont connecté le dispositif à des serveurs de terminaux réseau tiers insuffisamment sécurisés.

La faille peut impacter les dispositifs d'anesthésie GE Healthcare de quatre façons :

  1. Capteur de débit

    Bien que cela soit extrêmement improbable, un serveur de terminal insuffisamment sécurisé peut permettre à un acteur malveillant qui a déjà pénétré dans le réseau de l'hôpital d'envoyer des paramètres de correction de capteur de débit frauduleux à certains produits (voir tableau). Un serveur de terminal est un accessoire qui peut être obtenu auprès d'un fournisseur tiers (autre que GE Healthcare) en dehors de la configuration de produit standard. Si des paramètres de correction frauduleux du capteur de débit sont envoyés, l'étalonnage du capteur de débit peut être affecté et entraîner un dépassement dans l'administration du volume courant à un patient si la ventilation par contrôle du volume est utilisée. Dans de rares cas, un dépassement dans l'administration du volume courant peut théoriquement entraîner un risque accru de lésions pulmonaires. En outre, une administration insuffisante peut théoriquement se produire et entraîner une administration trop faible du volume total de gaz. Si cela se produisait sans intervention clinique normale, l'oxygénation ou la ventilation du patient pourrait théoriquement être compromise.

    Remarque : les systèmes d'anesthésie concernés sont équipés de commandes de gaz analogiques et d'un évaporateur mécanique. Par conséquent, il n'est pas possible de régler à distance le mélange de gaz ou les niveaux de médicaments.

  2. Alarme

    Les alarmes peuvent être neutralisées par un acteur malveillant, mais uniquement après le déclenchement de l'alarme sonore initiale. Les alarmes visuelles continuent de s'afficher et sont disponibles pour le médecin traitant. De plus, toutes les nouvelles alarmes passent par la commande d'alarme neutralisée et fournissent une alerte sonore à l'utilisateur. Les dispositifs d'anesthésie sont qualifiés de « dispositifs sous surveillance » lorsqu'un clinicien hautement qualifié surveille en permanence le dispositif et que ce scénario n'est pas raisonnablement supposé entraîner des blessures au patient.

  3. Horloge

    La date et l'heure du dispositif peuvent être modifiées par un acteur malveillant sur certains produits (voir tableau). Toutefois, cette modification ne peut pas se produire après le démarrage de la procédure patient et n'a pas d'impact sur l'utilisation prévue du dispositif. L'heure est affichée à l'écran en permanence. Ce scénario n'est pas raisonnablement supposé entraîner des blessures au patient.

  4. Poids et âge du patient

    Un acteur malveillant peut modifier le poids et l'âge du patient sur certains produits (voir tableau). Toutefois, ces paramètres doivent être confirmés et acceptés avant l'utilisation du dispositif par le clinicien. Ils n'affectent pas automatiquement les performances du dispositif et ne peuvent pas être modifiés lorsque le dispositif est en cours d'utilisation. Ce scénario n'est pas raisonnablement supposé entraîner des blessures au patient.

    Ces problèmes n'ont fait l'objet d'aucune incidence de cyberattaques ou de blessures signalées à GE Healthcare.

Dispositifs concernés

Périphérique

1. Scénario Capteur de débit

2. Scénario Neutralisation de l'alarme

3. Scénario Horloge

4. Scénario Poids et âge

Aespire 7100 / 100 / Protiva / Carestation

Ouia, version logicielle 1.x

Oui

Non

Non

Aestiva 7100

Ouib, version logicielle 1.x

Oui

Non

Non

Aestiva 7900

Ouic, versions logicielles 1.x, 2.x, 3.x

Oui

Non

Non

Aestiva IRM

Ouid, version logicielle 3.x

Oui

Non

Non

Aespire 7900

Non

Oui

Non

Non

Aespire View

Non

Oui

Non

Non

Aisys, Aisys CS2, Avance, Amingo, Avance CS2

Non

Oui

Oui

Oui

Carestation 620/650/650c

Non

Oui

Oui

Oui

aDispositifs fabriqués avant octobre 2010.

bDispositifs fabriqués avant février 2014.

cDispositifs fabriqués avant mars 2004.

dDispositifs fabriqués avant juillet 2014.

 

 

Recommandations en matière de sécurité

GE Healthcare recommande aux organisations d'utiliser des serveurs de terminaux sécurisés si elles choisissent de connecter les ports série du dispositif d'anesthésie GE Healthcare aux réseaux TCP/IP. Les serveurs de terminaux sécurisés, lorsqu'ils sont correctement configurés, offrent des fonctionnalités de sécurité robustes, notamment : un niveau de cryptage élevé, un VPN, l'authentification des utilisateurs, des contrôles réseau, la création de rapport, une capacité d'audit et des options de configuration et de gestion sécurisées du dispositif.

GE Healthcare recommande aux organisations d'utiliser les meilleures pratiques pour les serveurs de terminaux qui incluent des mesures de gouvernance, de gestion et de déploiement sécurisé, telles que la segmentation du réseau, les réseaux VLAN et l'isolation des dispositifs, afin d'améliorer les mesures de sécurité existantes.

Pour toute question, veuillez contacter votre représentant GE local.

Pour plus d'informations sur l’organisation ICS-CERT/CISA, consultez la page : https://www.us-cert.gov/ics/advisories/icsma-19-190-01

 

Article original : 14 mai 2019 – Dernière mise à jour : 21 mai 2019

BlueKeep (MS CVE-2019-0708 - Vulnérabilité relative à l'exécution du code des services Bureau à distance)

Mise à jour : Les évaluations initiales des produits ont été effectuées. Les clients de GE Healthcare peuvent obtenir un aperçu par produit des systèmes potentiellement concernés basé sur une évaluation préliminaire de l'applicabilité. Les équipes internes de GE Healthcare procèdent actuellement à des évaluations approfondies de tous les produits potentiellement affectés afin de définir des actions correctives. Dans les prochains jours ou les prochaines semaines, les résultats de ces évaluations, et notamment des correctifs validés et les instructions relatives à l'installation des correctifs, seront régulièrement communiqués sur le portail dédié à la gestion des vulnérabilités.

Message initial : GE Healthcare a pris connaissance des rapports Microsoft destinés aux utilisateurs de différentes versions de Windows leur indiquant d'effectuer une mise à jour importante de sécurité Windows. Microsoft a corrigé une vulnérabilité critique relative à l'exécution du code à distance des services Bureau à distance sur les versions suivantes : Windows XP, Windows 7, et certaines versions de Windows Server telles que Windows Server 2003, Windows Server 2008 R2 et Windows Server 2008. Microsoft a diffusé des correctifs pour Windows XP et Windows Server 2003 en particulier, même si ces deux systèmes d'exploitation ne sont plus pris en charge. Nous effectuons des évaluations de nos produits afin d'identifier tout impact potentiel. Cette annonce sera actualisée lorsque davantage d’informations seront disponibles, et nous avertirons nos clients par le biais du portail dédié à la gestion des vulnérabilités (https://securityupdate.gehealthcare.com/) si nous identifions des produits menacés.


Vulnérabilité du pont Silex (accessoire) dans les systèmes ECG GE Healthcare

GE Healthcare a été informé qu’un chercheur en sécurité informatique a découvert deux vulnérabilités dans un pont sans fil Silex utilisé en tant qu’accessoire en option dans certains produits ECG GE Healthcare. Si elles sont exploitées, ces vulnérabilités pourraient permettre à un auteur malveillant de perturber les communications entre le produit et le réseau de l’établissement hospitalier. Pour l’heure, GE n’a été informé d’aucune attaque ayant exploité ces vulnérabilités. Les modes d’exploitation potentiels de ces vulnérabilités n’affectent pas le fonctionnement des systèmes concernés. Ces informations ont été rendues publiques le 8 mai 2018 par la recommandation de l’ICS-CERT « ICSMA-18-128-01 Silex Technology SX-500/SD-320AN or GE Healthcare MobileLink » (ICSMA-18-128-01 Technologie Silex SX-500/SD-320AN ou GE Healthcare MobileLink) consultable à cette adresse https://ics-cert.us-cert.gov/advisories/ICSMA-18-128-01.

Cet accessoire en option peut être utilisé dans les systèmes MAC 3500, MAC 5000 (produit en fin de vie en 2012), MAC 5500, et MAC 5500 HD de GE Healthcare. Les vulnérabilités indiquées impactent cet accessoire et son fonctionnement en tant que pont vers le réseau de l’établissement hospitalier. Pour exploiter ces vulnérabilités, il faudrait se trouver près des systèmes, mais une telle attaque n’aurait aucun impact sur leur fonctionnement et la protection des données.

 Les deux vulnérabilités et les méthodes de correction connexes sont les suivantes :

  1. CVE-2018-6020, GEH-500 version 1.54 et versions antérieures (intégré dans la solution GE MobileLink).  Correction : Activer le compte « update » (mise à jour) dans l’interface Internet, car il n’est pas activé par défaut. Définir le mot de passe secondaire pour le compte « update » (mise à jour) afin de prévenir la modification de la configuration du pont par une source non authentifiée. 
  1. CVE-2018-6021, GEH-SD-320AN, version GEH-1.1 et versions antérieures (intégré dans la solution GE MobileLink). Correction : La mise à niveau du micrologiciel Silex est approuvée par GE Healthcare et les clients peuvent télécharger la mise à niveau ainsi que les instructions au moyen de ce lien : http://silextechnology.com/geh320an/

La sécurité des dispositifs médicaux est une priorité absolue pour GE Healthcare, et nous continuerons de collaborer avec nos clients afin de garantir la sécurité des soins.


Recommandation du NCCIC/ICS-CERT concernant les dispositifs médicaux de GE

Le NCCIC/ICS-CERT (National Cybersecurity and Communications Integration Center for Industrial Control Systems) a publié une recommandation concernant l'utilisation d'identifiants par défaut sur certains produits GE Healthcare. Cette recommandation du NCCIC/ICS-CERT vient compléter le bulletin de l'équipe de préparation aux situations d'urgence informatique (US-CERT) publié en août 2015, et toutes les informations concernant les identifiants par défaut ont été rendues publiques précédemment dans le bulletin US-CERT de 2015.

Contexte

En 2015, un chercheur a envoyé des informations à l'ICS-CERT concernant l'utilisation de mots de passe par défaut et/ou codés en dur sur certains produits GE Healthcare. Ces mots de passe ont été fournis dans des manuels d'installation et de maintenance qui ont été mis à disposition dans une bibliothèque de ressources GE Healthcare accessible aux clients sur Internet et sur version papier. Ces informations ont été fournies par la suite à l'US-CERT par le chercheur et publiées dans le bulletin SB15-222 de l'US-CERT, paru le 10 août 2015. Les scores de risque indiqués dans ce bulletin n'ont pas été examinés avec l'équipe GE Healthcare avant leur publication et ne reflétaient aucune évaluation technique des risques du produit. Après enquête, GE Healthcare a déterminé que la plupart des mots de passe étaient modifiables sur la base de la documentation de produit existante, tandis que certains mots de passe n'avaient pas de processus de modification dans la documentation existante. GE Healthcare reconnaît que les bonnes pratiques actuelles du secteur incluent des restrictions et des protections concernant l'utilisation des mots de passe et continuera de répondre aux demandes d'assistance des clients pour la modification de ces mots de passe.

Processus GE Healthcare d'évaluation des risques

GE Healthcare a évalué le problème de mot de passe signalé par le NCCIC/ICS-CERT grâce à un processus approuvé de gestion des risques de sécurité ainsi que des risques de sécurité générale en matière de confidentialité, d'intégrité, et de disponibilité des équipements. L'évaluation des risques par GE Healthcare a permis de conclure que les risques de sécurité sur ces produits étaient à un niveau acceptable. Cette conclusion s’appuie sur notre surveillance continue des produits en service, ainsi que sur les évaluations des risques de sécurité menées durant le processus de conception des produits. Tous ces produits ont été soumis à une surveillance continue après leur mise sur le marché et GE Healthcare n'a aucune preuve d'un quelconque incident de sécurité lié à la confidentialité, l'intégrité, ou la disponibilité de ces appareils dû à une mauvaise utilisation de ces mots de passe. La conception de ces produits inclut des mesures de limitation des risques potentiels liés à une mauvaise utilisation des mots de passe. GE Healthcare continuera de surveiller ses produits afin de détecter tout incident de sûreté et de sécurité et continuera de répondre aux besoins de ses clients en matière d'informations relatives à la sécurité de ses appareils.

Directives de GE Healthcare concernant le logiciel malveillant Petya (ransomware)

GE Healthcare a récemment pris connaissance de l'invasion d'un nouveau ransomware appelé « Petya » affectant des entités dans divers secteurs, dans le monde entier. Sur la base des informations actuellement disponibles, il semblerait que le ransomware se propage via un procédé de phishing personnalisé utilisant un document malveillant (par exemple, un e-mail). À l'instar du logiciel malveillant WannaCry découvert récemment, une fois que le ransomware Petya pénètre dans un système, il crypte le disque dur et demande une rançon en « bitcoins » pour le déverrouiller.

À l'heure actuelle, il n'y a pas d'impact attendu sur les appareils GE Healthcare ayant fait l'objet d'une correction à travers le déploiement de correctifs pour remédier à la vulnérabilité du protocole SMBv1 décrite dans le bulletin de sécurité Microsoft MS17-010 (WannaCry). Cependant, les logiciels et les dispositifs qui n'ont pas encore été corrigés pour remédier à la vulnérabilité du protocole SMBv1 décrite dans le bulletin de sécurité Microsoft MS17-010 restent vulnérables au ransomware Petya. GE Healthcare recommande d'appliquer les correctifs nécessaires dès que possible. Pour plus d'informations sur les correctifs destinés à des dispositifs ou produits spécifiques de votre parc, veuillez contacter votre représentant de maintenance GE ou le centre d'appels GE Service.

GE Healthcare continuera à surveiller la situation et déploiera toute mise à jour nécessaire.

Directives de GE Healthcare concernant le logiciel malveillant WannaCry (ransomware)

Présentation et contexte

GE Healthcare surveille de près la situation et met en place des mesures en réponse à l'attaque mondiale du ransomware connu sous le nom de WannaCry, WCry ou Wanna Decryptor, qui cible les systèmes fonctionnant sous Windows. Le « ransomware » WannaCry (une sorte de logiciel malveillant) se propage par le biais de campagnes de phishing ou en exploitant la vulnérabilité du protocole SMBv1 décrite dans le bulletin de sécurité Microsoft MS17-010. Une fois que WannaCry pénètre dans un ordinateur, il crypte les données contenues dans cet ordinateur et demande une rançon en « bitcoins » en échange du déverrouillage des données et de l'appareil.

Réponse initiale de GE Healthcare

GE Healthcare a mis en place une équipe interfonctionnelle d'experts en cybersécurité, en ingénierie, en maintenance et en technologies pour mener une évaluation complète des produits.  Partout dans le monde, nos équipes surveillent en continu la situation pour s'assurer que les clients et leurs équipes de maintenance ont accès aux toutes dernières informations dans ce contexte hautement dynamique.  

Correctif Microsoft

Microsoft a publié un correctif pour toutes les versions de Microsoft Windows actuellement prises en charge : Windows Vista, Windows 7, Windows 8.1 et Windows Server 2008 à 2016. Depuis l'attaque, Microsoft a également publié des correctifs pour Windows XP, Windows 8 et Windows Server 2003.  Pour plus d'informations concernant les ressources Microsoft mises à disposition dans le cadre de cet incident de sécurité, cliquez ICI.

À quoi faut-il s’attendre ?

GE Healthcare s'engage à aider ses clients à maintenir la sécurité de leurs systèmes et de leurs produits. Si des clients ont été touchés par le ransomware ou qu'ils ont des doutes concernant un produit particulier, ils sont invités à contacter leur représentant GE Service ou leur centre d'appels GE Service.  Bien que chaque cas soit différent, pour les ordinateurs fonctionnant avec un système d'exploitation pour lequel Microsoft a publié un correctif (voir plus haut), la solution consiste généralement à faire installer le correctif Microsoft par le client ou par notre équipe de maintenance.   

Nous rédigeons actuellement des conseils pratiques pour l'installation des correctifs, que nous diffusons aux équipes de maintenance GE Healthcare et aux centres d'appels pour mieux répondre aux questions des clients.

GE Healthcare transmet aux représentants de maintenance les dernières mises à jour de Microsoft et de diverses organisations du secteur pour garantir que les clients reçoivent les informations les plus récentes.  Nous nous engageons à travailler avec nos clients et nos autres partenaires pour mettre en œuvre des mesures de sécurité des produits efficaces, afin de protéger l'intégrité des soins médicaux partout dans le monde.