Vulnerabilidade permitiu que hackers adulterarem medicação na bomba de infusão - Gustavo Kennedy Renkel

Braun Patched Faulty IV Pump depois que a McAfee descobriu a vulnerabilidade permitindo a adulteração de medicamentos.

A Equipe Avançada de Pesquisa de Ameaças da McAfee Enterprise divulgou cinco vulnerabilidades de segurança não relatadas que existiam na bomba de grande volume e na Estação espacial do gigante alemão de saúde B. Braun.

Pesquisadores relataram que os hackers poderiam usar essas vulnerabilidades para alterar doses sem autenticação para acessar o dispositivo. Para suas informações, esses dispositivos são usados em unidades de saúde para adultos e pediátricos para ajudar médicos e enfermeiros a evitar infusões manuais. O estudo foi realizado em colaboração com Culinda.

Como a vulnerabilidade afeta as bombas?

Pesquisadores da McAfee revelaram no relatório que um invasor poderia explorar a falha para mudar a forma como uma bomba é configurada no modo de espera, que pode facilmente administrar doses alteradas de medicamentos aos pacientes. Acontece assim porque o sistema operacional da bomba não verifica de onde e quem está recebendo o comando.

Assim, os hackers poderiam explorar remotamente o dispositivo, ganhando acesso ao seu sistema interno que regula como um paciente recebe medicamentos.

Assista ao PoC do ataque

Braun corrigiu o problema

Após descobrirem as vulnerabilidades, pesquisadores da McAfee notificaram a fabricante alemã de equipamentos médicos em 11 de janeiro de 2021. Em um aviso de segurança, B. Braun anunciou abordando as falhas no SpaceCorn L82 e versões posteriores, Battery Pack SP com WiFi:L82 e posterior, e DataModule compactplus versão A12 e posterior.

A boa notícia é que B. Braun resolveu os problemas. No entanto, as falhas teriam deixado um invasor obter uma escalada de privilégios, acessar informações confidenciais, executar a execução remota de código e carregar arquivos arbitrários. Aqui estão os detalhes das vulnerabilidades.

  • CVE-2021-33885 – Verificação insuficiente da autenticidade dos dados (CVSS 9.7)
  • CVE-2021-33882 – Autenticação Ausente para Função Crítica (CVSS 8.2)
  • CVE-2021-33886 – Uso de string de formato controlado externamente (CVSS 7.7)
  • CVE-2021-33883 – Transmissão de Informações Confidenciais (CVSS 7.1)
  • CVE-2021-33884 – Upload irrestrito de arquivo com tipo perigoso (CVSS 5.8)

Fonte: HackRead.