lochkartenstanzer
Goto Top

Telnet ohne Paßwort bei Infusionspumpen

Falls Adminkollegen aus dem medizinischen Bereich (winke winke an @keine-ahnung face-smile) diesen Typ Infusionspumpen im Netz hängen haben, wird es höchste Zeit die IT-Infrastruktur neu zu überdenken.

lks

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3459

Content-Key: 271127

Url: https://administrator.de/contentid/271127

Printed on: May 30, 2024 at 20:05 o'clock

Member: wiesi200
wiesi200 May 05, 2015 updated at 15:04:49 (UTC)
Goto Top
Ach, solange die Passwörter bei den Atomraketen nicht geändert worden sind, mach ich mir doch keine Sorgen.

Sichere Passwörter, die Welt kann aufatmen
http://www.heise.de/newsticker/meldung/00000000-Passwort-fuer-US-Atomra ...
Member: keine-ahnung
keine-ahnung May 05, 2015 at 16:39:28 (UTC)
Goto Top
Moin LKS,
winke winke an @keine-ahnung
winke zurück ... aber von dem Hersteller habe ich noch nie was gehört, geschweige denn je gesehen. Ich persönlich präferiere Pumpen von Fres(s)enius - das erinnert mich immer so schön an die nächste bevorstehende Mahlzeit. Und schicker sind die auch ... face-wink

LG, Thomas
Member: Lochkartenstanzer
Lochkartenstanzer May 06, 2015 at 07:25:13 (UTC)
Goto Top
Inzwischen hat auch heise einen Artikel dazu. Die Hospira-Pumpen werden offensichtlich fast nur in den USA eingesetzt, warum diese für hierzulande noch keien Gefahr darstellen.

Aber wenn man liest, daß der Hersteller das nicht fixen will und die Dinger dazu benutzt werden, Medikamente zu verabreichen, könnte man, sofern man kein Gewissen hätte, daß für gewisse gewinnbringende Maßnahmen (Erbschleicherei, Auftragsmorde, Spionageabwehr, etc) nutzen.

lks
Member: keine-ahnung
keine-ahnung May 06, 2015 at 07:40:27 (UTC)
Goto Top
Moin LKS,
um das zielführend zu manipulieren, müsstest Du wissen, was da appliziert wird, in welcher Konzentration das "Was" gemischt ist, wo die Pumpe steht, welcher Patient da gerade beglückt wird ... das alles wirst Du vermutlich im embedded OS nicht finden, sondern im Verwaltungssystem der Klinik, welches Du auch noch penetrieren müsstest.
Also keine Angst - Hacker sind nicht allmächtig. Wir dagegen schon ... face-wink

LG, Thomas
Member: Lochkartenstanzer
Lochkartenstanzer May 06, 2015 at 08:09:19 (UTC)
Goto Top
Zitat von @keine-ahnung:

Moin LKS,
um das zielführend zu manipulieren, müsstest Du wissen, was da appliziert wird, in welcher Konzentration das
"Was" gemischt ist, wo die Pumpe steht, welcher Patient da gerade beglückt wird ...

Manchmal reicht es einfach die Dosis deutlich zu erhöhen oder zu senken, egal welches Medikament.

Aber bei NaCl-Lösungen wird es natürlich etwas schwierig, damit Leute ins Jenseits zu befördern. Aber manchmal reicht ja auch schon eine nachhaltige Schädigung.

Was mir Sorgen macht sind aber nicht die gezielten Angriffe der Dreibuchstabenorganisationen, sondern die Skript-Kiddies. Wer jemals mal in einem Krankenhaus sein RJ45-kabel in einen der Anschlüsse in einem Krankenzimmer gesteckt hat, wird erahnen können, was für Möglichkeiten es gibt da zu vandalisieren.

lks

PS. Nicht jedes Krankenhaus setzt 802.11X o.ä. ein. Manche Geräte unterstützen das nicht einmal.
Member: keine-ahnung
keine-ahnung May 06, 2015 at 09:38:53 (UTC)
Goto Top
Ich halte den möglichen hack für ein rein akademisches Problem, die Medien brauchen halt auch ihr Futter ...
Manchmal reicht es einfach die Dosis deutlich zu erhöhen oder zu senken, egal welches Medikament.
Die Dosis an sich kannst Du so nicht verändern, nur die applizierte Dosis pro Zeiteinheit. Schon aus wirtschaftlichen Gründen (Medikamente kosten ja auch fast soviel wie HP-ECC-RAM face-wink) befindet sich in den Behältnissen - egal ob das jetzt eine Infusions- oder eine Injektionspumpe ist - genau die personalisierte Wirkdosis, die der Patient erhalten soll, wenn Flasche leer (oder halt Beutel oder Spritze). Abgesehen jetzt mal von Anwendungen im NAW oder RTW, da wird das durch die Transportdauer unmöglich - der übernehmende Kollege in der Klinik hat dann eventuell schon wieder ganz andere Behandlungsvorstellungen.

Ich sag mal so ... wenn Du jetzt auf ITS eine Pumpe auf den Turbomode setzt, die gerade bspw. Cholinergica pumpt kann das schon mal ordentlich Druck im Kessel bringen face-wink. Aber Du brauchst die Motivation, die Möglichkeit, die Fähigkeit und den Willen, so ein Teil zu hacken und bewegst Dich dann im Blindflug ... um eine Einrichtung zu erpressen ... eventuell. Die schaltet dann aber gleich ab face-smile. Mutter Erna kannst Du so nicht terminieren, weil Du ja nicht weisst, welche Pumpe mit welchem Medikament in welcher Dilution bei ihr eingesetzt wird face-wink.

Was mir Sorgen macht sind aber nicht die gezielten Angriffe der Dreibuchstabenorganisationen,
Was mir Sorgen macht, sind auch nicht scriptkiddies. Mir macht Sorgen, dass in solchen Teilen überhaupt ein OS läuft - das ist IMHO nicht notwendig. Die Teile machen nix als durch einen definierten Druck eine definierte Flüssigkeitsmenge zu bewegen, diese transportierte Flüssigkeitsmenge zu monitoren und Alarm zu schlagen, wenn es da Probleme gibt. Dazu braucht es kein Betriebsystem ... und der nächste patch day lässt grüssen face-wink

LG, Thomas
Member: wiesi200
wiesi200 May 06, 2015 at 10:02:55 (UTC)
Goto Top
Also bei unseren Pumpen geht schon ohne OS face-smile
Member: keine-ahnung
keine-ahnung May 06, 2015 updated at 10:22:00 (UTC)
Goto Top
Also bei unseren Pumpen geht schon ohne OS
Da wäre ich mir heutzutage auch nicht mehr sicher ... die NSA schläft nachts nicht. Im Unterschied zu Dir! Und warte, bis Du den ersten Schrittmacher eingebaut bekommst ...face-smile!

google ja auch nicht ... face-smile

LG, Thomas
Member: Clijsters
Clijsters May 07, 2015 at 16:39:59 (UTC)
Goto Top
Ich habe zwar recht wenig mit Infusionspumpen, geschweige denn diesen Modellen am Hut, aber habe mir das trotzdem gerne durchgelesen.
Scheinbar (selbst nicht geprüft) hat ein Kommentator sich die Mühe gemacht, zu recherchieren und Hanbuchausschnitte zu posten, die besagen, dass dies a) ein Feature ist und b) wohl garnicht so schlimm sein soll.

Beste Grüße
Dominique
Member: ITwissen
ITwissen May 11, 2015 at 10:34:01 (UTC)
Goto Top
Wieso sich die Mühe mit dem RJ45 Kabel machen. Siehe Handbuch der Pumpe:

"... This information is then transferred to the infuser utilizing either its wireless antenna or shielded RJ-45 Ethernet connector. ..."