Vulnerabilità di sicurezza nei dispositivi per la regolazione della somministrazione dei medicinali

Ancora un altro esempio di dispositivi medicali poco sicuri: di recente è emerso che una linea di pompe per la regolazione della somministrazione dei medicinali della marca Hospira è esposta a una serie di vulnerabilità sfruttabili che possono permettere ad un hacker di prendere il controllo completo dei dispositivi interessati dal problema, o renderli inutilizzabili

Queste sistemi di regolazione per la somministrazione dei medicinali sono parte di una nuova ondata di dispositivi medicali intelligenti e connessi a Internet. Como vi abbiamo già raccontato in questo blog, in particolare approposito delle pompe per il rilascio dell’insulina, i dispositivi medicali intelligenti riducono al minimo i rischi legati agli errori umani, soprattutto per quei pazienti che hanno malattie croniche e necessitano di una medicazione continua. Sfortunatamente, molte delle aziende che sviluppano questi dispositivi hanno ripetutamemte dimostrato una continua mancanza di interesse nei confronti della sicurezza.

Le pompe per la regolazione della somministrazione dei medicinali Lifecare, della casa produttrice statunitense Hospira, sono così vulnerabili che il ricercatore di sicurezza Jeremy Richard le ha definite come i dispositivi con IP meno sicuri su cui abbia mai lavorato. Richard sostiene che un hacker potrebbe in remoto rendere questi dispositivi inservibili, un processo noto in informatica con il termine inglese di bricking.

“Non sono solo suscettibili ad un attacco” scrive Richards, “ma sono così mal programmati che possono trasformarsi in apparecchi inutilizzabili”.

Il ricercatore afferma che un hacker potenziale potrebbe anche aggiornare il software del dispositivo, lanciare comandi e manipolare le librerie di alcuni medicinali specifici a cui vanno associati codici a barra stampati sulle fiale contenenti un dosaggio critico e altre informazioni.

Il dato interessante è che sono ben due i ricercatori che hanno scoperto i bug contenuti in questi dispositivi medicali. Il primo è Billy Rios, famoso per aver hackerato il sistema di sicurezza di un aeroporto e i sistemi automatici di gestione delle case smart.

A security flaw in a widely used IV pump lets hackers raise drug-dosage limits http://t.co/8FuMz23ngG

— WIRED (@WIRED) April 10, 2015

Mentre la ricerca di Rios, presentata durante il CERT più di un anno fa, non è stata ancora pubblicata, Richard l’ha pubblicata la scorsa settimana. Rios ha dato a Richard la sua benedizione su Twitter per pubblicare le sue scoperte.

@dyngnosis submitted to ICS-CERT a year ago, but feel free to publish!

— Billy Rios (@XSSniper) April 29, 2015

Come se non bastasse, i dispositivi Hospira immagazzinano chiavi di accesso alla rete Wi-Fi (WPA) in testo chiaro. Se un hacker riuscisse a rubare una di queste chiavi WPA, potrebbe esporre al pericolo altri dispositivi che si trovano sulla stessa network. Queste chiavi potrebbero essere rubate anche da dispositivi che già non si usano più, se l’ospedale non cancella le chiavi di rete prima di smaltirli o venderli. Oppure, questi dispositivi contengono un porto ethernet esposto che può permettere la realizzazione di un attacco locale, facile e veloce, attraverso strumenti di hacking automatici.

Non è ancora chiaro se Hospira abbia intenzione di risolvere le vulnerabilità. Richards dice di sì, ma il comunicato ufficiale rilasciato dalla stessa azienda si contraddice.

Alcuni dispositivi per la somministrazione dei medicinali della marca #Hospira hanno #vulnerabilità

Tweet

In una email in risposta al nostro collega di Threatpost, Chris Brook, Hospira afferma: “non esistono ancora casi documentati di dispositivi Hospira che siano stati hackerati in un contesto ospedaliero; Hospira ha adottato un approccio proattivo nei confronti delle potenziali vulnerabilità che possono minare la cyber-sicurezza. Comunque la compagnia non sapeva delle vulnerabilità generate nei suoi prodotti. Nei nuovi prodotti, Hospira terrà inconsiderazione queste preoccupazioni”.

“Inoltre è importante sottolineare che per sfruttare queste vulnerabilità è necessario ingannare diversi livelli del sistema di sicurezza di rete applicato al sistema di informazione dell’ospedale, tra cui i firewalls”, afferma un rappresentante dell’azienda in un comunicato. “Queste misure di sicurezza di rete sono la prima e la più efficace linea di difesa contro gli attacchi; i dispositivi di somministrazione dei medicinali e i loro software offrono uno strato di sicurezza di sicurezza aggiuntivo”.

Nel frattempo, vi lasciamo con questo:

Don't buy a Hospira PCA drug pump to do security stuff. Busybx no passwd shell on 23, no-auth CGIs, also never hook it up to a human being

— dyngnosis (@dyngnosis) April 27, 2015