Contec Health - CVE-2024-12248
Date de publication :
Un défaut de contrôle de la mémoire dans Contec Health permet à un attaquant, en envoyant des requêtes UDP spécifiquement forgées, d’exécuter du code arbitraire.
Informations
La faille est activement exploitée : Non
Un correctif existe : Non
Une mesure de contournement existe : Non
Exécution de code arbitraire
Exploitation
La vulnérabilité exploitée est du type
CWE-787: Out-of-bounds Write
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
CMS8000 Patient Monitor version smart3250-2.6.27-wlan2.1.7.cramfs
CMS8000 Patient Monitor version CMS7.820.075.08/0.74(0.75)
CMS8000 Patient Monitor version CMS7.820.120.01/0,93(0,95)
Solutions ou recommandations
Aucun correctif ni mesure de contournement n'est disponible actuellement.
Il est recommandé de :
• Réduire l’exposition réseau des dispositifs et systèmes de contrôle, en les rendant inaccessibles depuis internet.
• Utiliser un sous-réseau sécurisé et à faible privilège pour les dispositifs médicaux connectés.
• Mettre à jour les règles de pare-feu pour bloquer l’accès aux dispositifs vulnérables.
Des informations complémentaires sont disponibles dans le bulletindu CISA.