GE兩款連網麻醉機爆漏洞,能遠端變更藥劑及機器設定 | 合法醫療器材資訊網
2019年7月11日—奇異(GE)旗下生產的兩款麻醉機,被研究人員發現有驗證不當漏洞,當有問題的麻醉機連結到有漏洞的終端伺服器,加上攻擊者也成功連上醫院 ...
知名醫療設備大廠GE Health出產的兩款麻醉機,被安全研究人員發現含有漏洞[1],可讓連上同一網路的攻擊者遠端變更系統設定,包括藥劑、氣體、關閉警鈴和機器數值。但是GE認為漏洞並非出在機器本身,並未發布修補程式。
安全廠商CyberMDX發現,編號CVE-2019-10966的漏洞為一種驗證不當漏洞,出在GE Aestiva及 GE Aespire以序列埠(如USB)透過終端伺服器連上TCP/IP網路時,這二款麻醉機可被遠端攻擊者操弄。
當上述GE裝置連結的終端伺服器剛好也有漏洞,攻擊者也連上醫院同一網路時,攻擊者可傳送回溯相容指令,使GE麻醉機降回到較不安全的舊版通訊協定,進而使其以在未經授權情況下修改裝置參數。此外,若配合使用終端伺服器,駭客不需知道麻醉機的IP或實際位置也能發動攻擊。
一旦成功開採CVE-2019-10966,攻擊者可以遠端傳送三類指令,包括氣體組成輸入值、警鈴、及裝置日期時間等。這意謂著駭客能做出非常危險的事,像是關閉警鈴、變更機器的日期時間、變更麻醉劑和病患吸入/呼出氣體(氧氣、二氧化碳、一氧化二氮)的濃度值、操弄氣壓計數值和麻醉劑類別選擇等。
受影響的裝置包括GE Aestiva及Aespire 7100,以及GE Aestiva及Aespire 7900共4款裝置。
該漏洞可於本地網路上遠端開採及開採技能需求不高,風險被列為中度的CVSSS v3 5.3(滿分10分)。
CyberMDX於2018年10月通報GE及主管機關[2],但GE認為漏洞並不在其裝置上,因此也沒有發佈修補程式。ZDNET引述GE的說法指出[3],漏洞只出在其裝置的序列埠透過終端伺服器連到TCP/IP網路的通訊協定中;若麻醉機不連上醫院網路就不會被開採。
但GE仍建議醫療院所要確保終端伺服器的安全性,並配合網路分區(network segmentation)、VLAN、裝置隔離等措施強化安全。GE並說計畫對此漏洞提供更新訊息。
美敦力(Medtronic)本...
GE Aespire 7100通風麻醉機,翻新 | 合法醫療器材資訊網
GE Aespire 7900通風麻醉機,翻新 | 合法醫療器材資訊網
GE Aestiva 5和7900智能呼吸機 | 合法醫療器材資訊網
GE Avance 設備標準操作規範 | 合法醫療器材資訊網
GE兩款連網麻醉機爆漏洞,能遠端變更藥劑及機器設定 | 合法醫療器材資訊網
GE多功能麻醉機+生理監視器組 | 合法醫療器材資訊網
Ohmeda 麻醉機系列 | 合法醫療器材資訊網
美國通用電氣醫療集團的GE麻醉機存在安全漏洞 | 合法醫療器材資訊網
【麻醉機】許可證字號:衛署醫器輸字第007079號
器材品名:麻醉機許可證字號:衛署醫器輸字第007079號註銷狀態:已註銷註銷日期:1999/10/25註銷理由:未展延而逾期者;;改列無須...
【"德爾鉻 克拉斯克星" 非重吸入式呼吸面罩 (未滅菌)】許可證字號:衛部醫器輸壹字第021359號
器材品名:"德爾鉻克拉斯克星"非重吸入式呼吸面罩(未滅菌)許可證字號:衛部醫器輸壹字第021359號註銷狀態:註銷日期:註銷理由:...
【麻醉用多種氣體監視器】許可證字號:衛署醫器輸字第003493號
器材品名:麻醉用多種氣體監視器許可證字號:衛署醫器輸字第003493號註銷狀態:已註銷註銷日期:2004/11/17註銷理由:未展延而逾...
【"德爾鉻" 二氧化碳吸收劑 (未滅菌)】許可證字號:衛署醫器輸壹字第002557號
器材品名:"德爾鉻"二氧化碳吸收劑(未滅菌)許可證字號:衛署醫器輸壹字第002557號註銷狀態:註銷日期:註銷理由:有效日期:2026/0...
【"德爾鉻 范詩達" 麻醉呼吸管路 (未滅菌)】許可證字號:衛部醫器輸壹字第021297號
器材品名:"德爾鉻范詩達"麻醉呼吸管路(未滅菌)許可證字號:衛部醫器輸壹字第021297號註銷狀態:註銷日期:註銷理由:有效日期:20...
【麻醉通氣機】許可證字號:衛署醫器輸字第006864號
器材品名:麻醉通氣機許可證字號:衛署醫器輸字第006864號註銷狀態:已註銷註銷日期:2007/07/16註銷理由:許可證已逾有效期有效...
【“德爾鉻”鵬塔懸吊裝置(未滅菌)】許可證字號:衛署醫器輸壹字第005656號
器材品名:“德爾鉻”鵬塔懸吊裝置(未滅菌)許可證字號:衛署醫器輸壹字第005656號註銷狀態:已註銷註銷日期:2014/07/25註銷理由:...
【天亮肝功能試劑盤】許可證字號:衛部醫器製字第004382號
器材品名:天亮肝功能試劑盤許可證字號:衛部醫器製字第004382號註銷狀態:註銷日期:註銷理由:有效日期:2023/12/24發證日期:201...
【伊摩式麻醉器】許可證字號:衛署醫器輸字第000020號
器材品名:伊摩式麻醉器許可證字號:衛署醫器輸字第000020號註銷狀態:已註銷註銷日期:1986/08/29註銷理由:未展延而逾期者有效...
【麻醉器】許可證字號:衛署醫器輸字第002132號
器材品名:麻醉器許可證字號:衛署醫器輸字第002132號註銷狀態:已註銷註銷日期:1990/02/26註銷理由:有效期限已屆有效日期:1987...
【"泰爾茂" 外科用鋸片 (未滅菌)】許可證字號:衛部醫器輸壹字第016562號
器材品名:"泰爾茂"外科用鋸片(未滅菌)許可證字號:衛部醫器輸壹字第016562號註銷狀態:註銷日期:註銷理由:有效日期:2021/05/20...
【“太空實驗室”心電圖記錄器】許可證字號:衛署醫器輸字第021191號
器材品名:“太空實驗室”心電圖記錄器許可證字號:衛署醫器輸字第021191號註銷狀態:註銷日期:註銷理由:有效日期:2020/07/06發證...
【“愛龍”悠騰呼吸器系統】許可證字號:衛部醫器輸字第028504號
器材品名:“愛龍”悠騰呼吸器系統許可證字號:衛部醫器輸字第028504號註銷狀態:註銷日期:註銷理由:有效日期:2021/04/08發證日期...
【麻醉器】許可證字號:衛署醫器輸字第001689號
器材品名:麻醉器許可證字號:衛署醫器輸字第001689號註銷狀態:已註銷註銷日期:1990/02/26註銷理由:有效期限已屆有效日期:1986...
【"斯貝司" 超維生理監視器】許可證字號:衛署醫器輸字第012509號
器材品名:"斯貝司"超維生理監視器許可證字號:衛署醫器輸字第012509號註銷狀態:註銷日期:註銷理由:有效日期:2025/09/28發證日...