JVNVU#98006941
Contec Medical Systems製Contec Health CMS8000 CONTEC ICU CCU Vital Signs Patient Monitorにおける複数の脆弱性

Contec Medical Systemsが提供するContec Health CMS8000 CONTEC ICU CCU Vital Signs Patient Monitorには、複数の脆弱性が存在します。

• Contec Health CMS8000 CONTEC ICU CCU Vital Signs Patient Monitor

Contec Medical Systemsが提供するContec Health CMS8000 CONTEC ICU CCU Vital Signs Patient Monitorには、次の複数の脆弱性が存在します。

• 不適切なアクセス制御 (CWE-284) - CVE-2022-36385、CVE-2022-3027
• リソースの枯渇 (CWE-400) - CVE-2022-38100
• ハードコードされた認証情報の使用 (CWE-798) - CVE-2022-38069
• アクティブ状態のデバッグコード (CWE-489) - CVE-2022-38453

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 当該機器に物理的にアクセス可能な第三者によって、ファームウェアを改ざんされる - CVE-2022-36385
• 遠隔の第三者が細工したUDPリクエストを送信することによって、当該機器のクラッシュが引き起こされたり、同じネットワーク上のすべての当該機器がサービス運用妨害（DoS）攻撃を受けたりする - CVE-2022-38100
• 当該機器に物理的にアクセス可能な第三者によって特権を取得され、患者の機密情報の窃取やデバイスパラメータの変更が行われる - CVE-2022-38069
• ローカルの高権限ユーザによって機密性の高いコードをリバースエンジニアリングされ、他の脆弱性の特定がたやすくなる - CVE-2022-38453
• 隣接ネットワーク上の第三者によって、任意のファイルが書き込まれたり、誤った情報が表示されたりする - CVE-2022-3027

2022年9月2日現在、本脆弱性への対策は提供されていません。詳細は、Contec Medical Systemsへお問い合わせください。

ワークアラウンドを実施する
本脆弱性の悪用リスクのため、以下の軽減策が推奨されています。

• CPUレベルでUART機能を無効化する
• 端末およびブートローダーへのアクセス許可の前に認証を実施する
• 可能ならセキュアブートを行う
• デバイスの開封を検知するケースステッカーを利用する