Vulnerabilidade permitiu que hackers adulterarem medicação na bomba de infusão – Gustavo Kennedy Renkel
Vulnerabilidade permitiu que hackers adulterarem medicação na bomba de infusão
Braun Patched Faulty IV Pump depois que a McAfee descobriu a vulnerabilidade permitindo a adulteração de medicamentos.
A Equipe Avançada de Pesquisa de Ameaças da McAfee Enterprise divulgou cinco vulnerabilidades de segurança não relatadas que existiam na bomba de grande volume e na Estação espacial do gigante alemão de saúde B. Braun.
Pesquisadores relataram que os hackers poderiam usar essas vulnerabilidades para alterar doses sem autenticação para acessar o dispositivo. Para suas informações, esses dispositivos são usados em unidades de saúde para adultos e pediátricos para ajudar médicos e enfermeiros a evitar infusões manuais. O estudo foi realizado em colaboração com Culinda.
Como a vulnerabilidade afeta as bombas?
Pesquisadores da McAfee revelaram no relatório que um invasor poderia explorar a falha para mudar a forma como uma bomba é configurada no modo de espera, que pode facilmente administrar doses alteradas de medicamentos aos pacientes. Acontece assim porque o sistema operacional da bomba não verifica de onde e quem está recebendo o comando.
Assim, os hackers poderiam explorar remotamente o dispositivo, ganhando acesso ao seu sistema interno que regula como um paciente recebe medicamentos.
Assista ao PoC do ataque
Braun corrigiu o problema
Após descobrirem as vulnerabilidades, pesquisadores da McAfee notificaram a fabricante alemã de equipamentos médicos em 11 de janeiro de 2021. Em um aviso de segurança, B. Braun anunciou abordando as falhas no SpaceCorn L82 e versões posteriores, Battery Pack SP com WiFi:L82 e posterior, e DataModule compactplus versão A12 e posterior.
A boa notícia é que B. Braun resolveu os problemas. No entanto, as falhas teriam deixado um invasor obter uma escalada de privilégios, acessar informações confidenciais, executar a execução remota de código e carregar arquivos arbitrários. Aqui estão os detalhes das vulnerabilidades.