CISA: veelgebruikte medische monitor bevat achterdeur die patiëntdata verstuurt

De Amerikaanse Cybersecurity and Infrastructure Agency waarschuwt dat een veelgebruikt patiëntmonitorsysteem een achterdeur bevat die data doorsluist naar een externe server. Het gaat om de Contec CMS8000, die onder andere de bloeddruk en hartslag van patiënten bijhoudt.

De CISA waarschuwt in een advisory voor de kwetsbaarheid, die in de Contect CMS8000 Multi Parameter Patient Monitor zou zitten. Dat apparaat wordt gebruikt om de hartslag, temperatuur, zuurstofverzadiging in het bloed en de bloeddruk van een patiënt te meten.

Volgens de CISA zitten er twee kwetsbaarheden in alle firmwareversies van de software. Dat zijn CVE-2025-0626 en CVE-2025-0683. Beide kwetsbaarheden gaan over het feit dat de firmware patiëntdata in plaintext doorstuurt naar een server, die met een hardcoded IP-adres in de code staat aangegeven. "Dit kan leiden tot het lekken van vertrouwelijke patiëntdata", waarschuwt de CISA.

De CISA kwam de kwetsbaarheid op het spoor nadat een beveiligingsonderzoeker die aandroeg. De CISA testte drie versies van de firmware, waaronder de recentste. De organisatie onderschepte het netwerkverkeer en keek naar de code en ontdekte daarin naar eigen zeggen 'iets dat lijkt op een achterdeur'. Een executable in de firmware activeert onder andere de ethernetadapter van het apparaat en stuurt gegevens die eerder in een bepaalde map werden opgeslagen richting een andere server. In de firmware zit een functie om individuele bestanden naar een netwerkschijf te verplaatsen, wat de CISA opmerkelijk vindt.

Het IP-adres dat in de firmware staat opgenomen, is niet gekoppeld aan de fabrikant maar aan een universiteit, zegt de CISA. De organisatie zegt ook dat het er niet op lijkt dat de software bedoeld is om updates te versturen of om integriteitschecks van software te doen. "Dit type acties en het gebrek aan log- en auditdata gaan in tegen de algemeen geaccepteerde regels en negeren essentiële componenten voor systeemupdates", schrijft de organisatie. Het is niet bekend uit welk land het IP-adres komt; Contec is een van oorsprong Chinees bedrijf, maar de CISA noemt dat land niet expliciet.

Medische instellingen die het apparaat gebruiken, zouden dat het beste kunnen ontkoppelen van internet, waarschuwt de organisatie. Er is op het moment nog geen firmware-update beschikbaar die de achterdeur oplost. Instellingen zouden verder de logs van de apparaten moeten bekijken om te zien of daar iets opvallends in te zien is.

Reacties (54)

[Kenzatiko]

Vorig jaar hadden ze al ontdekt dat je dit ding op afstand jouw eigen code kunt laten uitvoeren! https://www.cve.org/CVERecord?id=CVE-2024-12248
Dus als ie niet autonoom de patient-data naar je toe stuurt, kan je het gewoon gaan halen! ;-)

Waarom worden dit soort devices toch altijd aan internet gehangen? Waarom hangt een ziekenhuis uberhaupt aan internet?

[Reactie gewijzigd door Kenzatiko op 31 januari 2025 15:05]

[Pindakaasman]

Waarom hangt een ziekenhuis aan het internet?
Misschien om patiëntgegevens snel uit te kunnen wisselen met andere zorginstanties? Of misschien omdat er multidisciplinaire overleggen zijn met andere ziekenhuizen?
Of omdat je van elke patiënt een check wil doen bij een zorgverzekeraar? Of omdat je AI gebruikt die meekijkt naar radiologische beelden om kanker eerder te vinden? Misschien omdat je als patiënt geen briefje meer meekrijgt van je huisarts, maar dat alles digitaal wordt georderd?
Zelfs medische apparatuur moet op afstand support ontvangen, zodat je niet alle patiënten hoeft af te bellen bij een storing. Moet ik nog even doorgaan?

Ik denk dat veel ziekenhuizen van de leverancier doorkrijgen welke IP-adressen en poortnummers open moeten staan naar het interne netwerk, en al helemaal naar het internet, en dat er verder niets naar buiten gaat. Ziekenhuizen die hier nog geen 10 scoren, zijn hier ongetwijfeld hard mee bezig.

Dat een onderzoeker dit heeft ontdekt, betekent niet dat ieder ziekenhuis dat dit device gebruikt, patiëntgegevens heeft gelekt.

[Cerberus_tm]

Geen van deze dingen zijn strikt noodzakelijk. Ze besparen alleen ietsje tijd. Terwijl ze wel een fundamenteel probleem veroorzaken.

[Reactie gewijzigd door Cerberus_tm op 3 februari 2025 02:37]

[Mellow Jack]

Wat voor fundamentele problemen? Het fundamentele probleem is toch allang opgelost dmv bijv netwerk zones en vlan's?

[nullbyte]

Een vlan is er voor management, netwerksegmentatie en om het broadcast domein in te perken om zo performance op een netwerk te verhogen. Een 802.1Q tag in een ethernet frame is geen veiligheidsmaatregel. Net zomin als dat NAT dat is.

[Reactie gewijzigd door nullbyte op 3 februari 2025 14:56]

[Cerberus_tm]

Dat het ziekenhuis aan het Internet gekoppeld is, en daardoor kwetsbaar voor malware, met als mogelijk gevolg massale privacyschending zonder dat men er iets van merkt, en ransomware die het hele ziekenhuis platlegt.

[nullbyte]

Waarom worden dit soort devices toch altijd aan internet gehangen?

De vraag is niet waarom een ziekenhuis aan het internet hangt, maar waarom welke apparatuur wat naar huis stuurt, en dan nog de vraag, waar staat dat huis? Monitoren horen geen patiëntgegevens naar china te versturen. Nog een voorbeeld, inhakend op 1 van jouw argumenten: AI software die tumoren vind hoort on-premise te draaien en niet in een cloud AI oplossing, en al helemaal niet een Chinese cloud oplossing die draaiende is op illegaal verkregen Nvidia GPU's.

Netwerkconnectiviteit en patientdata dient veel en veel beter tegen het licht gehouden te worden. Cybersecurity is een compromis tussen werkbaarheid en veiligheid, in dit geval vermoed ik dat gemakzucht, luiheid en onwetendheid eerder doorslaggevend zijn als toonaangevende factoren. Het is tijd voor wat betere duidelijkere regelgeving.

N.B. Dit hardcoded IP moet gesinkholed worden.

[Reactie gewijzigd door nullbyte op 3 februari 2025 15:13]

[L0g0ff]

Een ziekenhuis is gewoon een enterprise netwerk maar dan ook nog met een shitload aan medische IoT apparatuur. Elke vendor heeft zijn eigen gebruiksaanwijzing en in het ziekenhuis zelf zijn ze allang blij als iets gewoon werkt.

Hoe vervelend dan ook. Zonder internet staan er heel veel processen stil. En dit wordt alleen maar meer omdat steeds meer diensten stoppen met on-prem en als SaaS aangeboden worden.

Zelf vind ik dit een mooi initiatief maar ook hier moet dan alles weer met APIs aan elkaar geknoopt worden met alle risico's vandien.

Al met al, net een echt netwerk alleen met veel gevoelige persoonsgegevens.

[nullbyte]

omdat steeds meer diensten stoppen met on-prem en als SaaS aangeboden worden.

Wettelijk middels (EU) wetgeving verbieden

[Digimann]

Ik luister veel The Industrial Cyber Security Podcast. Ook daar is een Airgap Vrij essentieel, maar in praktijk een stuk lastiger uitvoerbaar. Dit oa door toeleveranciers die hun systemen willen monitoren(Vaak wordt voorbeeld van siemens aangehaald die de staat van hun Turbines willen kunnen monitoren). Dat zal hier ook zo zijn. Denk in dit geval maar aan Philips of Siemens die informatie willen hebben over de staat, Snelheden, temperatuur, etc van een MRI / CT scan.
Ik ben in dit geval er niet in thuis, maar sluit niet uit dat er ook onderhoudscontracten EN / OF verlies aan garantie (zover dat geldt bij dit soort systemen van toepassing is) aan gekoppeld zit

[haam]

Ik denk dat monitoren voor klanten ondergeschikt is aan de mogelijkheid tot snelle support/herstel.
Ik denk dat bij het aanschaffen van MRI oid voldoende aandacht is voor netwerken (gezien de kosten van het apparaat).

Het gaat hier om patientenmonitoring. Ofwel je wilt de data uitlezen om in de zusterspost (waarschijnlijk meerdere om bij drukte iemand anders mee te laten kijken) te laten zien (en misschien een opslagserver om historie terug te kijken). Op de pc's van de zusterpost staan veel meer applicaties dan alleen patientenmonitoring, dus dan wordt het al een stuk complexer om functies scheiden.

En dan ligt security wise vaak de nadruk op intrusion. Dit is een gevalletje outrusion.

[Waterbeesje]

Al jaren geleden werden windmolens bij j revisie voorzien van tandwiel kasten die met apparatuur bijhielden welke vibraties waar opladen. Zo kun er simpel en stel tandwielen worden vervangen voor het hele zaakje in de soep liep. Een mooi stukje techniek dat aan de voorkant wat extra kost maar achteraan veel meer oplevert.

Een dergelijk systeem verwacht ik ook bij medische tools, die hebben immers een zeer strakke calibratie. Team onderhoud van Philips beeld vanzelf de beheerder van het ZH om de revisie of calibratie in te plannen.

Minder fijn is een achterdeur waar gelekt wordt wie er welke scan ondergaat op welk moment... Of wat dit live te volgen is door een bot. Ik hoop dat dat soort dingen vrij snel worden opgespoord.

[cdwave]

Tegenwoordig is het hip om te eisen dat apparaten firmware upgrades kunnen krijgen, want "security". En dat is het makkelijkst te regelen via een internetverbinding (ophalen, verifieren, flashen, reboot en klaar).

Het knullige daaraan is dat die firmware upgrade de enige nuttige communicatiefunctie kan zijn, en dat zonder die upgrade eis die hele netwerk stack niet nodig was geweest, en 't apparaat van nature al prima dicht zat... De "security" eis van upgrades maakt het apparaat zo juist onveilig.

De medische standaarden focussen op allerlei "bekende" problemen. De aandacht van de fabrikant gaat vooral uit naar alles documenteren (juridisch indekken dus: "Kijk we hebben er alles aan gedaan") en dan blijft er weinig budget over om gewoon robuuste software te maken en te testen.

Overigens is het op ziekenhuizen al stukken beter gesteld dan vroeger. In mijn beginjaren hing de IT van een ziekenhuis aaneen van Visual Basic scriptjes en spreadsheets op gedeelde schijven met macro's... Wonderbaarlijk wat je allemaal kon aantreffen...

[nullbyte]

en 't apparaat van nature al prima dicht zat..

Dat bestaat niet, geen enkel apparaat, OS, soft of hardware is zonder 0 day kwetsbaarheden.

[cdwave]

Daarom "prima". Niet "perfect" of "waterdicht". Gewoon "prima".

[bzuidgeest]

Ik denk niet dat er wat mis is met apparatuur op het internet. Er is was mis met apparatuur op het internet die door de goedkoopste subcontractor zijn gemaakt zonder verder ergens naar te kijken. Niet anders dan het oude verhaal van de X-ray machine die af en toe patiënten dode omdat de hobby bob software enigneer die ze gehuurd hadden iets had gemist.
Wikipedia: Therac-25

[MarcelG]

Wat raar dat ze het (hardcoded) IP adres niet vrijgegen; kleine moeite om die te vermelden zodat je die preventief kunt blocken of kunt kijken of daar traffic naartoe gaan vanuit je ziekenhuis.

In de manual (die gewoon online staat) staat het IP adres van de 'server', en die is van Tsinghua University (Beijing Education And Research Network). Hebben ze in de firmware nog een ander adres gevonden?

[Reactie gewijzigd door MarcelG op 31 januari 2025 15:32]

[Piemol]

Bedankt voor de link naar de handleiding.
Daar staat gewoon in hoe je 'de server' wilt configureren.
Heeft de CISA niet begrepen dat je gewoon kunt configureren naar welke server je data wilt doorsturen?
Of heeft de CISA getest dat data altijd naar een hardcoded IP adres verstuurd wordt, ook al is er wat anders ingesteld?
Het artikel en de 'advisory' lijkt haast wel stemmingmakerij eerlijk gezegd.

[SunnieNL]

Staat er ook in de handleiding dat ze dit plain text versturen in plaats van versleuteld?
Versturen van data is 1, maar dat ook nog plain text over het netwerk sturen is nog ff een ander verhaal.

Dat is ook het hele probleem wat de CISA er mee heeft
(dat het doorgestuurd wordt naar een externe server is niet hun grootste zorg lees ik uit het bericht)

[Reactie gewijzigd door SunnieNL op 31 januari 2025 17:01]

[catfish]

Dus de 'ontdekking' staat gewoon in de handleiding als feature?
Handig

[rdfeij]

Natuurlijk geef je dat niet publiekelijk vrij. Dan is de data ook voor iedereen die een beetje moeite doet te onderscheppen en wordt er mogelijk (nog meer) misbruik van gemaakt.

[erik_bies]

Raar verhaal... ze weten wel dat het IP address behoord aan een universiteit maar ze weten niet welk land... dat moet je dan toch ook weten

Het IP-adres dat in de firmware staat opgenomen, is niet gekoppeld aan de fabrikant maar aan een universiteit, zegt de CISA. De organisatie zegt ook dat het er niet op lijkt dat de software bedoeld is om updates te versturen of om integriteitschecks van software te doen. "Dit type acties en het gebrek aan log- en auditdata gaan in tegen de algemeen geaccepteerde regels en negeren essentiële componenten voor systeemupdates", schrijft de organisatie. Het is niet bekend uit welk land het IP-adres komt; Contec is een van oorsprong Chinees bedrijf, maar de CISA noemt dat land niet expliciet.

[SpankmasterC]

Ik las het eerder als "het is niet bekend gemaakt in welk land de universiteit gevestigd is"

[Alxndr]

Het is voor 'ons' - de auteur en de lezers - niet bekend, CISA weet dit (natuurlijk?) wel, anders zouden ze idd ook niet aan kunnen geven dat het een universiteit betreft?

Net even opgezocht en CISA valt onder DHS (Department of Homeland Security). Ik zou het wel logisch vinden als DHS de CISA instructies heeft gegeven dat ze geen landen mogen noemen omdat dat natuurlijk (geo)politieke gevolgen aan vast (kunnen) zitten.

[poktor]

Wat is het ip-adres? Dat is middels een ping-tool wel op te sporen. Door vanuit meerdere lokaties te pingen en de latency te meten is makkelijk op te sporen waar het ip-adres vandaan komt.

[DataGhost]

Netwerkroutes zijn vrijwel nooit hemelsbreed recht en hoeven ook geen logische route te zijn zoals je die zou uitrekenen met een routeplanner, o.a. omdat ze afhangen van afspraken tussen alle betrokken providers, de kwaliteit van de gebruikte apparatuur en verbindingen, en de congestie erop. Ook kunnen ze veranderen tussen verschillende pings. Verder meet je de roundtrip-tijd over de gehele route, dus als er bepaalde stukken zijn die veel trager zijn zal dat je meting behoorlijk nutteloos maken. En als dit wel een betrouwbare methode geweest was, zou je je ertegen kunnen wapenen door dat IP expres achter een bepaalde route te hangen die heel onlogisch heen en weer bouncet en/of die expres een willekeurige hoeveelheid latency introduceert op elk packet, waarmee het geen betrouwbare methode meer kan zijn.

[Reactie gewijzigd door DataGhost op 31 januari 2025 15:39]

[poktor]

Ja dat is waar. Even niet aan gedacht.

[Yariva]

Hoe moet ik je post interpreteren? Voor een ping-tool moet je toch al een adres weten? En latency is zeker geen goede manier om een fysieke locatie van een adres te achterhalen.

Een adres uit Amerika met een rtt van 70msec kan vanuit Amsterdam sneller zijn dan een adres in Ede welke eerst door een scrub gaat, sandbox of cdn met 100msec. Dit terwijl Ede geografisch veel dichterbij ligt.

Ik zou eerder uitgaan van register / whois informatie.

[Reactie gewijzigd door Yariva op 31 januari 2025 15:59]

[twiet]

Beetje ingewikkeld.. daar heb je gewoon de 'whois' database voor. Dat is een publieke database met informatie van de eigenaar van IP subnetten en domeinen. Bijvoorbeeld te ondervragen vanaf whatismyip:

https://www.whatismyip.com/ip-whois-lookup

[Bux666]

In de handleiding, hier gelinkt door MarcelG, staat het volgende IP-adres: 202.114.4.115

[TijsZonderH]

Ik heb dus geen inzicht in of dit apparaat ook in Nederland veel wordt gebruikt en wat hier de situatie is. Ben benieuwd of er tweakers zijn die meer in de medische wereld zitten die hier iets over kunnen zeggen.

[-Colossalman-]

Zover ik weet gebruiken wij hiervoor Philips apparatuur.
Andere ziekenhuizen heb ik geen informatie over.
Als het goed is zal deze melding ook via het z-cert verstuurd worden naar aangesloten zorginstellingen.

Edit: is al verstuurt rond het middaguur.

[Reactie gewijzigd door -Colossalman- op 31 januari 2025 14:55]

[inversions]

Dat is inderdaad verstuurd vanochtend.

[Xghost]

In de meeste ziekenhuizen worden Philips of Dräger monitoren gebruikt voor de patiëntbewaking.

Zelf ben ik dit merk nog niet tegen gekomen, maar dat wil natuurlijk niet zeggen dat ze niet in gebruik zijn

[Reactie gewijzigd door Xghost op 31 januari 2025 14:57]

[telenut]

Zal het deze avond den nazien. maar netwerkmonitoring systemen zouden wel al een melding gemaakt moeten hebben denk ik dan...

[telenut]

Bij ons alvast niet in gebruik. Deed een scan of dit IP gezien is het laatste jaar, en geen verbindingen gehad naar daar alvast.

[ari2asem]

is het überhaupt nodig (of noodzakelijk) om dit soort apparaten aan ethernet te hangen?

[Digimann]

Als je data / meldingen wilt versturen heb je gewoon een verbinding nodig. Of je nu een alarm doorgeeft aan het zorg personeel (zonder dat de patient uit bed vliegt van de herrie), of automatish updaten van patientendosier bij bepaald type meldingen dat maakt niet heel veel uit.
De IT / Industrie gebruiken allemaal Ethernet voor data en communicatie. zou niet weten waarom dat medisch in eens raar is.

Waarom het systeem aan het internet hangt is denk ik een interessantere vraag!

[haam]

Zoals je al zei, de gegevens worden doorgegeven naar systemen waar het zorgpersoneel mee werkt. Daar zullen veel meer applicaties op gebruikt worden. Kan me voorstellen dat er verbindingen zijn met cloudbased patienten dossiers.

Ik heb thuis in de router ingesteld welke gebruikers wel of niet op het internet mogen. Maar dat zijn een beperkt aantal apparaten.
Ik denk dat het voor een ziekenhuis heeeel lastig is om IP based toegang te managen. Zoals bij heel veel security zaken is het dan een balans tussen veilig en gemak

[Piemol]

Iets anders uit de advisory wat ook aardig kwalijk is:

In the function discovered by the research team, individual files are copied from the remote share to the
device’s local filesystem. The copy mechanism automatically overwrites existing files on the device. No
integrity verification mechanism, such as code signing verification, is performed before the copy occurs.
Additionally, the copy command used by the function does not record which specific files are overwritten,
version changes between the existing file versions, or the files being copied from the remote file share.

[redfightjuh]

Dit lijkt vooral op slecht programmeren en geen error handling. Hoeft niet persé iets te betekenen maar erg netjes is het niet.

[R4gnax]

Afhankelijk van de context betekent dit dat individuele bestanden, zoals de gecachte patientinformatie die later ook weer met dossiers gesynchroniseerd wordt, ongecontrolleerd en covert vanuit een off-site locatie aangepast kan worden.

Politieke dissident die uit de weg geruimd moet worden? Geen probleem: gewoon even uit het patientdossier wissen dat ze een allergie voor een bepaalde pijnstiller hebben. Of even de gegevens wisselen met de buurman, zodat mogelijk de verkeerde dosis medicatie toegediend gaat worden en bijv. het hart het begeeft.

[Reactie gewijzigd door R4gnax op 1 februari 2025 16:09]

[redfightjuh]

Dit is totaal niet wat in de tekst staat omschreven. Wat is je bron?

[R4gnax]

Wat in de security advisory staat is dat individuele bestanden uit een remote share naar het lokale filesystem van het apparaat gekopieerde kunnen worden, waarbij bestaande files overschreven worden zonder dat er verdere verificatie voor integriteit plaats vindt.

Het is dus een arbitraire file dropper; en dat zou dus ook gebruikt kunnen worden om informatie over de patient die op het apparaat opgeslagen is (dezelfde informatie die ook naar een remote server verstuurd wordt) aan te passen.

[djmuggs]

Aangezien ze gewoon een nederlandstalige pagina op hun website hebben, zou ik er vanuit gaan dat deze ook in nederland gebruikt wordt.
https://nl.contecmedsyste...ent-monitor-84745892.html

Epsimed levert hetzelfde product blijkbaar.
https://medtechintelligen...-from-contec-and-epsimed/

[Reactie gewijzigd door djmuggs op 31 januari 2025 14:51]

[Alxndr]

Is 'achterdeur' hier de juiste term voor? Daarbij stel ik me voor dat je toegang hebt tot het apparaat (er in en er uit). Een apparaat wat enkel automatisch gegevens verstuurd hoeft toch niet per definitie instaat te zijn om (nieuwe) data (instructies/opdrachten) te ontvangen?

Een 'lek' zou ik het ook niet willen noemen, dat klinkt alsof het per ongeluk gebeurt, dit lijkt me (kwade) opzet?

[Reactie gewijzigd door Alxndr op 31 januari 2025 15:17]

[Olaf van der Spek]

dat een veelgebruikt patiëntmonitorsysteem een achterdeur bevat die data doorsluist naar een externe server.

Waarom hebben dit soort apparaten toegang tot internet?

[FerronN]

Je verbaast je soms toch over welke beunhazen blijkbaar code schrijven voor dit soort apparatuur. Wellicht was dit uitbesteed?

[Haribo112]

Vooralsnog gaan ze uit van een achterdeur, dus geen beunhazerij maar een bewust verstopte functie

[redfightjuh]

Beunhazen, gezien het in elke firmware zit ga ik er vanuit dat het bewust is gedaan. Dus dat kan je niet echt beunhazen noemen......

[Reactie gewijzigd door redfightjuh op 31 januari 2025 14:50]

[nullbyte]

LOL het IP in de handleiding is van China Education and Research Network

Niet echt "beunhazen" dus