Gevaarlijk lek in pacemakers laat aanvaller instellingen wijzigen
Fabrikant van medische apparatuur Abbott heeft een belangrijke beveiligingsupdate uitgebracht voor een gevaarlijke kwetsbaarheid in pacemakers. Via het beveiligingslek in de pacemaker kan een ongeautoriseerd persoon op afstand toegang tot het apparaat krijgen en de instellingen wijzigen (pdf).
Hierdoor kan een levensgevaarlijke situatie ontstaan. Door de instellingen aan te passen is het namelijk mogelijk om de batterij snel leeg te laten lopen of om verkeerde schokken toe te dienen. "Als de batterij leeg is kan de ICD of CRT-D geen levensreddende schokken toedienen, wat het overlijden van de patiënt tot gevolg kan hebben", aldus de Amerikaanse toezichthouder Food and Drug Administration (FDA).
Het probleem speelt onder andere bij de Implanteerbare Cardioverter Defibrillators (ICD) van Abbott. Een ICD kan net als een pacemaker stroomstootjes geven om de hartslag op peil te houden, maar ook een stroomstoot geven om een gevaarlijke ritmestoornis op te heffen. Zowel Abbott als de FDA melden dat er nog geen gevallen van misbruik bekend zijn. Voor het updaten van de firmware moeten patiënten langs hun arts gaan. Het installeren van de update neemt ongeveer drie minuten in beslag.
Vorig jaar augustus besloot Abbott 465.000 andere pacemakers wegens een ernstig beveiligingslek terug te roepen voor een update. Bij 0,62 procent van de pacemakers kon de installatie van de update in eerste instantie niet worden afgerond en bleven de pacemakers in de "back-upmode" draaien, van 67 hartslagen per minuut. In alle gevallen kon de vorige firmware-versie worden hersteld of werd de update met hulp van de technische dienstverlening toch geïnstalleerd.
2020 Pacemaker traceert aanvaller en genereert DDoS attack
Waarom moet een pacemaker eigenlijk in de cloud en continu verbonden zijn?
"RF enabled devices" zegt iets over mogelijke communicatie methode, en die bleek unauthenticated (of te zwak authenticated) te zijn.
Het is onzinnig om te denken dat dit IoT devices zijn, dat zijn het niet.
Ik ben het hierin met karma4 eens: niemand zal zo gek zijn om Windows in een pacemaker te gebruiken. Alleen al voor de schadeclaims bij die BSoD ;-)
Nee karma4, nu ontspoor je weer totaal off-topic.
Wel snel hulp ter plaatse bij door de pacemaker vastgestelde problemen. Want natuurlijk zit er ook positiebepaling in zo'n ding, zodat men meteen weet waar het probleem plaatsvindt en hulp kan sturen.
Ik zou ook oppassen bij detectiepoortjes.
De firmware is ook niet al te solide, dat weten we ook al vanaf 4 mei j.l.:
https://community.spiceworks.com/topic/2132794-iot-danger-465k-pacemakers-have-potentially-fatal-firmware-flaw
Samen met de verkeerde iOT stappenteller bijvoorbeeld kan het met jou en je pacemaker slecht aflopen.
luntrus
...
Het is onzinnig om te denken dat dit IoT devices zijn, dat zijn het niet.
"We recommend that you continue to use your Merlin@home™ device, as it allows your physician to more frequently receive, assess, and monitor your device’s function."
Als het apparaat niet te veranderen zou zijn zonder zo'n aparte procedure dan zou er toch geen noodzaak zijn. risico nihil.
Met answer 9 staat er apart dat het RF deel uitgeschakeld kan worden om risico van cyberhack uit te sluiten.
Stukje verder:
"It’s important to note that when RF communication is permanently disabled in the device, you can no longer be monitored remotely using an RF Merlin@home™ transmitter. Remote monitoring can be an important part of your care, as it allows your doctor to more frequently receive, assess, and monitor your device’s function."
Staat er toch dat pacemaker een IOT ding is via dat merlin@home.
https://www.stin.nl/over-de-icd/technische-informatie/st-jude-medical-merlinnet-patient-care-network-of-patientenzorg-vanuit-huis-juli-2009.htm
Het verhaal van de FDA is nog niet als link hier. https://www.fda.gov/MedicalDevices/Safety/AlertsandNotices/ucm604706.htm
Het gaat om twee issue, deze zijn aangepast en na een jaar doorloop nu goedgekeurd.
"addresses two separate issues:
1) a device-based Battery Performance Alert
2) updates to address cybersecurity vulnerabilities across Abbott's radio frequency (RF) enabled ICDs and CRT-Ds.
...
if exploited, could allow an unauthorized user (i.e.someone other than the patient's physician) to access a patient's device using commercially available equipment. This unauthorized user could then modify programming commands to the implanted defibrillator, which could result in patient harm from rapid battery depletion (unrelated to lithium clusters), or administration of inappropriate pacing or shocks. "
...
Het is onzinnig om te denken dat dit IoT devices zijn, dat zijn het niet.
"We recommend that you continue to use your Merlin@home™ device, as it allows your physician to more frequently receive, assess, and monitor your device’s function."
Nee, karma4, dat betekent niet dat de pacemaker *zelf* verbonden is, maar dat het appje verbonden is. Dat is iets heel anders. De kwetsbaarheid zit in de RF communicatie.
Dus toch heel veel beter lezen karma4.
Als het apparaat niet te veranderen zou zijn zonder zo'n aparte procedure dan zou er toch geen noodzaak zijn. risico nihil.
Met answer 9 staat er apart dat het RF deel uitgeschakeld kan worden om risico van cyberhack uit te sluiten.
Stukje verder:
"It’s important to note that when RF communication is permanently disabled in the device, you can no longer be monitored remotely using an RF Merlin@home™ transmitter. Remote monitoring can be an important part of your care, as it allows your doctor to more frequently receive, assess, and monitor your device’s function."
Staat er toch dat pacemaker een IOT ding is via dat merlin@home.
https://www.stin.nl/over-de-icd/technische-informatie/st-jude-medical-merlinnet-patient-care-network-of-patientenzorg-vanuit-huis-juli-2009.htm
Het verhaal van de FDA is nog niet als link hier. https://www.fda.gov/MedicalDevices/Safety/AlertsandNotices/ucm604706.htm
Het gaat om twee issue, deze zijn aangepast en na een jaar doorloop nu goedgekeurd.
"addresses two separate issues:
1) a device-based Battery Performance Alert
2) updates to address cybersecurity vulnerabilities across Abbott's radio frequency (RF) enabled ICDs and CRT-Ds.
...
if exploited, could allow an unauthorized user (i.e.someone other than the patient's physician) to access a patient's device using commercially available equipment. This unauthorized user could then modify programming commands to the implanted defibrillator, which could result in patient harm from rapid battery depletion (unrelated to lithium clusters), or administration of inappropriate pacing or shocks. "
En nog steeds is het de RF communicatie zelf die niet voldoende sterk beveiligd is, daar zit de zwakheid. De rest is relatieve bijzaak. Het gaat expliciet *niet* over het appje, wat jij wel suggereerde. Gek genoeg denk je, ondanks dat je nu goed citeert, nog steeds dat het probleem ergens anders zit.
En nog steeds is het de RF communicatie zelf die niet voldoende sterk beveiligd is, daar zit de zwakheid.
.....
De fda heeft het er over dat de instellingen op de pacemaker veranderd kunnen worden.
De fda heeft er over dat dit in de aansturing tussen dat kastje en de pacemaker zit.
Ze, de fda, noemt dat de aanval tussen deze twee delen met vrij verkrijgbare commerciële hardware en code mogelijk is.
Ik las elders dat de Keys (userid passwords) voor dat deel standaard waarden bevatten dan wel ongecontroleerd verwerkt worden. Dat is iets wat beide endpoints goed zouden moeten doen en "appje" en pacemaker. Het is allemaal software code met configuratie. Iets afdoen als appje of rf deel zegt niets.
...
Het is onzinnig om te denken dat dit IoT devices zijn, dat zijn het niet.
Staat er toch dat pacemaker een IOT ding is via dat merlin@home.
https://www.stin.nl/over-de-icd/technische-informatie/st-jude-medical-merlinnet-patient-care-network-of-patientenzorg-vanuit-huis-juli-2009.htm
Nee, dat staat er niet! De tekst uit jouw eigen link maakt duidelijk dat de Merlin@home zender aan internet hangt, niet de pacemaker zelf. De Merlin@home zender is dus een IoT-apparaat, niet de pacemaker zelf! Bovendien wordt de pacemaker alleen uitgelezen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
