Philips xem xét các lỗ hổng trên thiết bị chụp tim của PageWriter vào giữa năm 2019

Thiết bị Máy tim Philips. Thiết bị y tế tuyệt đối

Philips được biết đến với việc sản xuất các thiết bị PageWriter Cardiograph cao cấp và hiệu quả. Sau khi phát hiện gần đây về lỗ hổng bảo mật mạng trong các thiết bị của mình, cho phép kẻ tấn công thay đổi cài đặt của thiết bị để ảnh hưởng đến chẩn đoán, Philips đã đưa ra tuyên bố trong ICS-CERT tham mưu rằng họ không có ý định xem xét các lỗ hổng này cho đến mùa hè năm 2019.

Các thiết bị Máy tim mạch của Philips PageWriter thu nhận các tín hiệu thông qua các cảm biến được gắn vào cơ thể và sử dụng dữ liệu này để tạo các mẫu và sơ đồ điện tâm đồ mà sau đó bác sĩ có thể tham khảo để kết luận chẩn đoán. Bản thân quá trình này không được có bất kỳ sự can thiệp nào để đảm bảo tính toàn vẹn của các phép đo được thực hiện và các đồ thị được mô tả, nhưng có vẻ như người thao tác có thể tác động đến dữ liệu này theo cách thủ công.

Các lỗ hổng bảo mật tồn tại trong các mô hình của Philips PageWriterTC10, TC20, TC30, TC50 và TC70. Các lỗ hổng phát sinh do thực tế là thông tin đầu vào có thể được nhập theo cách thủ công và được mã hóa cứng vào giao diện dẫn đến đầu vào không chính xác vì hệ thống của thiết bị không xác minh hoặc lọc ra bất kỳ dữ liệu nào được nhập. Điều này có nghĩa là kết quả từ thiết bị tương quan trực tiếp với những gì người dùng đưa vào chúng theo cách thủ công cho phép chẩn đoán không chính xác và không hiệu quả. Việc thiếu làm sạch dữ liệu góp phần trực tiếp vào khả năng tràn bộ đệm và lỗ hổng định dạng chuỗi.

Ngoài khả năng khai thác lỗi dữ liệu này, khả năng mã hóa dữ liệu cứng vào giao diện cũng cho phép mã hóa cứng thông tin đăng nhập. Điều này có nghĩa là bất kỳ kẻ tấn công nào biết mật khẩu của thiết bị và có thiết bị trên tay đều có thể sửa đổi cài đặt của thiết bị gây ra chẩn đoán không chính xác khi sử dụng thiết bị.

Bất chấp quyết định của công ty là không xem xét những lỗ hổng này cho đến mùa hè năm sau, bản tư vấn được xuất bản đã đưa ra một số lời khuyên để giảm thiểu những lỗ hổng này. Các nguyên tắc chính cho vấn đề này xoay quanh vấn đề bảo mật vật lý của thiết bị: đảm bảo rằng những kẻ tấn công nguy hiểm không thể truy cập hoặc thao tác thực tế thiết bị. Ngoài ra, các phòng khám nên bắt đầu bảo vệ thành phần trong hệ thống của họ, hạn chế và điều chỉnh những gì có thể được truy cập trên thiết bị.