Vulnérabilités critiques dans des produits Baxter - Mise à jour le 7 mars 2022
Date de publication :
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Perte de confidentialité et d’intégrité d’informations sensibles
- Exécution de commandes arbitraires
- Déni de service
- Exécution de code arbitraire
Criticité
- Score CVSS v3 : 9.8 max
Existence d’un code d’exploitation
- Des codes d’exploitation sont disponibles publiquement pour CVE-2017-0143. L’exploitation des autres vulnérabilités reste également triviale.
Composants vulnérables
- Baxter Sigma Spectrum Infusion Pumps
- Baxter Phoenix Hemodialysis Delivery System
- Baxter PrismaFlex et PrisMax
- Baxter ExactaMix
La liste exhaustive des versions vulnérables est disponible sur les bulletins sources disponibles en référence.
CVE
- CVE-2020-12040
- CVE-2020-12045
- CVE-2020-12041
- CVE-2020-12047
- CVE-2020-12048
- CVE-2020-12035
- CVE-2020-12016
- CVE-2020-12008
- CVE-2020-12032
- CVE-2017-0143
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour les appareils PrismaFlex vers la version SW 8.2 ou supérieure
Migrer les appareils PrisMax vers PrisMaxv3 avec DCM (Digital Communication Module)
Mettre à jour les appareil ExactaMix EM 2400 vers la version 1.13, et les appareils ExactaMix EM1200 vers la version 1.4
Aucun correctif de sécurité n’est disponible pour les systèmes de perfusion Baxter Sigma Spectrum
Recommandations spécifiques par Baxter
Isoler Spectrum Infusion System dans son propre réseau VLAN afin que ce dernier ne soit pas lié avec d'autres systèmes de l'hôpital. Appliquer les mesures nécessaires pour empêcher qu'un attaquant ne puisse accomplir une offensive de type Man in the Middle (MiTM).
Appliquer la sécurité des protocoles (WPA2, EAP-TLS...) afin de permettre une authentification et un chiffrement des données qui communiquent avec Spectrum Infusion System.
Il est recommandé de faire redémarrer le module Wireless Battery Module (WBM) suite à une configuration du réseau. Pour cela, retirer le module WBM situé à l'arrière de l'appareil Spectrum pendant environ 10 à 15 secondes avant de l'insérer à nouveau.
Les utilisateurs doivent surveiller ou bloquer les trafics inhabituels (par exemple les trafics liés au FTP) aux limites du réseau VLAN spécifique de Spectrum.
En dernier recours, il peut être considéré de désactiver les fonctionnalités sans-fil des appareils vulnérables pouvant fonctionner sans connectique réseau: il s’agit notamment du cas des systèmes de perfusion Baxter Sigma Spectrum.
Il existe Spectrum IQ Infusion System qui n'est pas concerné par les vulnérabilités présentes dans ce bulletin.
Des informations supplémentaires sont disponibles (en anglais), dans les bulletins source disponibles en référence.
Liens
- ICS Medical Advisory (ICSMA-20-170-04)
- ICS Medical Advisory (ICSMA-20-170-03)
- ICS Medical Advisory (ICSMA-20-170-02)
- ICS Medical Advisory (ICSMA-20-170-01)
- NVD CVE-2020-12040
- NVD CVE-2020-12045
- NVD CVE-2020-12041
- NVD CVE-2020-12047
- NVD CVE-2020-12043
- NVD CVE-2020-12048
- NVD CVE-2020-12035
- NVD CVE-2020-12016
- NVD CVE-2020-12008
- NVD CVE-2020-12032
- NVD CVE-2017-0143
- Unit42 Palo Alto Infusion Pump Vulnerabilities
- Bleeping Computer
- Baxter solution