Kritieke kwetsbaarheden in het Life2000 Ventilation System van fabrikant Baxter, een 'non invasief' draagbaar apparaat dat patiënten helpt met ademen, maakt het mogelijk voor aanvallers om het systeem ongemerkt te saboteren. Baxter heeft nog geen beveiligingsupdates beschikbaar en adviseert patiënten om het apparaat in openbare of onbeveiligde plekken niet onbeheerd achter te laten. Het beademingsapparaat wordt onder andere gebruikt voor patiënten met COPD of die zich voorbereiden of herstellen van een longtransplantatie.

Het apparaat heeft in totaal met negen beveiligingslekken te maken, waarvan twee met een impactscore van 10 op een schaal van 10, alsmede drie met een 9.4 score. Het gaat onder andere om het gebruik van harcoded credentials, onvoldoende logging, ontbrekende authenticatie voor belangrijke functies, het niet controleren van de integriteit van firmware-updates, het standaard ingeschakeld staan van de debugging poort, het ontbreken van bescherming tegen bruteforce-aanvallen en het onversleuteld versturen van gevoelige informatie.

"Succesvol misbruik van deze kwetsbaarheden kan leiden tot het verkrijgen van informatie en/of het verstoren van de werking van het apparaat, zonder dat dit wordt gedetecteerd", aldus het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Baxter geeft aan in het tweede kwartaal van volgend jaar met meer informatie te komen.