Pesquisadores de segurança divulgaram quase uma dúzia de falhas de segurança que impactam a família de produtos de ultrassom Vivid da GE HealthCare e que poderiam ser exploradas por atores maliciosos para manipular dados de pacientes e até mesmo instalar ransomware em determinadas circunstâncias.
Os problemas de segurança afetam o sistema de ultrassom Vivid T9 e seu aplicativo web Common Service Desktop pré-instalado, que é exposto na interface do localhost do dispositivo e permite que os usuários realizem ações administrativas.
Eles também afetam outro programa de software chamado EchoPAC, que é instalado em uma estação de trabalho Windows de um médico para ajudá-los a acessar imagens de ultrassom multidimensional do eco, vascular e abdominal.
Dito isso, a exploração bem-sucedida das falhas requer que um ator de ameaça primeiro ganhe acesso ao ambiente hospitalar e interaja fisicamente com o dispositivo, após o qual as falhas podem ser exploradas para obter execução de código arbitrário com privilégios administrativos.
Em um cenário de ataque hipotético, um ator malicioso poderia bloquear os sistemas Vivid T9 ao implantar um ransomware e até mesmo extrair ou adulterar dados de pacientes.
A mais grave das vulnerabilidades é a CVE-2024-27107 (pontuação CVSS: 9,6), que se refere ao uso de credenciais codificadas. Outras falhas identificadas se relacionam à injeção de comandos, execução com privilégios desnecessários, travessia de caminho e falha no mecanismo de proteção.
A cadeia de exploração desenvolvida pela Nozomi Networks aproveita a CVE-2020-6977 para obter acesso local ao dispositivo e depois utiliza a CVE-2024-1628 para obter a execução de código.
Alternativamente, um adversário poderia obter acesso à rede interna de um hospital usando credenciais VPN roubadas coletadas por outros meios (por exemplo, phishing ou vazamento de dados), procurar por instalações vulneráveis do EchoPAC e depois explorar a CVE-2024-27107 para obter acesso irrestrito ao banco de dados do paciente, comprometendo efetivamente sua confidencialidade, integridade e disponibilidade.
