Lek in medische apparatuur maakt aanpassen testresultaten patiënten mogelijk
In verschillende medische apparatuur die bij dna-onderzoek naar onder ander genetische aandoeningen en kanker wordt gebruikt zijn kritieke kwetsbaarheden gevonden waardoor het mogelijk is voor een aanvaller om de testresultaten van patiënten op afstand aan te passen, de apparaten over te nemen of informatie te stelen. Het gaat om de NextSeq 550Dx, MiSeqDx, NextSeq 500, NextSeq 550, MiSeq, iSeq en MiniSeq van fabrikant Illumina die wereldwijd worden gebruikt.
In de Local Run Manager (LRM)-software waarvan de apparaten gebruikmaken zijn vijf kwetsbaarheden gevonden. Zo is path traversal mogelijk waardoor een aanvaller bestanden buiten de bedoelde directories kan uploaden, wordt de software met onnodig hoge rechten uitgevoerd waardoor een aanvaller zijn code met systeemrechten kan uitvoeren, is het mogelijk om gevaarlijke bestandstypes te uploaden, wordt gevoelige data onversleuteld verstuurd en maakt de software standaard geen gebruik van authenticatie en autorisatie.
Een aanvaller kan hierdoor de apparaten op afstand overnemen, instellingen aanpassen, testresultaten van patiënten manipuleren of persoonlijke informatie stelen, zo waarschuwt de Amerikaanse Food and Drug Administration (FDA). De impact van drie van de vijf kwetsbaarheden is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Illumina heeft beveiligingsupdates uitgebracht om de problemen te verhelpen. De FDA roept zorgverleners en laboratoria op om de patches meteen te installeren.
Fijn, die gezondheidszorg.
Fysieke aanwezigheid van hackpersoon en/of sniffing device in de buurt is al voldoende.
Het apparaat is overigens -zo te lezen- één grote backdoor. En nee, deze conclusie trek ik niet vanwege de naam van de fabrikant.
Fijn, die gezondheidszorg.
standaard werkwijze bij elk commercieel gemotiveerd bedrijf
Fysieke aanwezigheid van hackpersoon en/of sniffing device in de buurt is al voldoende.
Het apparaat is overigens -zo te lezen- één grote backdoor. En nee, deze conclusie trek ik niet vanwege de naam van de fabrikant.
Vaak hangen deze apparaten ook niet aan het internet, maar wat je zegt klopt... ze zijn vaak wel te benaderen via het interne netwerk.
Aanvallers die zorgen ervoor dat ze eerst een interne computer overnemen die wel via het internet verbonden is, via deze computer kunnen ze verder snuffelen op het interne netwerk.
Oftewel het advies is ook op je interne netwerk ervoor te zorgen dat alleen de computers die bij deze apparaten moeten komen hier netwerk technisch bij kunnen, de rest hoeft er niet bij dus netwerk technisch afsluiten.
Het gaat hier niet om apparatuur voor forensische DNA-profilering, maar uitsluitend om enkele medische toepassingen.
Het gaat hier niet om apparatuur voor forensische DNA-profilering, maar uitsluitend om enkele medische toepassingen.
Het gaat hier niet om apparatuur voor forensische DNA-profilering, maar uitsluitend om enkele medische toepassingen.
Worden de NextSeq 550Dx, MiSeqDx, NextSeq 500, NextSeq 550, MiSeq, iSeq en MiniSeq van fabrikant Illumina enkel gebruikt medische toepassingen? Of misschien ook voor voor forensische DNA-profilering? Als het laatste het geval is, dan hebben strafrechtadvocaten beet als het om betrouwbaarheid van DNA gaat.
En hoe staat het met andere fabrikanten van gelijksoortige apparatuur?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
