GE两款连网麻醉机爆漏洞，能远端变更药剂及机器设定

知名医疗设备大厂GE Health出产的两款麻醉机，被安全研究人员发现含有漏洞，可让连上同一网络的攻击者远端变更系统设定，包括药剂、气体、关闭警铃和机器数值。但是GE认为漏洞并非出在机器本身，并未发布修补程式。

安全厂商CyberMDX发现，编号CVE-2019-10966的漏洞为一种验证不当漏洞，出在GE Aestiva及 GE Aespire以序列埠（如USB）透过终端服务器连上TCP/IP网络时，这二款麻醉机可被远端攻击者操弄。

当上述GE装置连结的终端服务器刚好也有漏洞，攻击者也连上医院同一网络时，攻击者可传送回溯相容指令，使GE麻醉机降回到较不安全的旧版通讯协定，进而使其以在未经授权情况下修改装置参数。此外，若配合使用终端服务器，骇客不需知道麻醉机的IP或实际位置也能发动攻击。

一旦成功开采CVE-2019-10966，攻击者可以远端传送三类指令，包括气体组成输入值、警铃、及装置日期时间等。这意谓著骇客能做出非常危险的事，像是关闭警铃、变更机器的日期时间、变更麻醉剂和病患吸入／呼出气体（氧气、二氧化碳、一氧化二氮）的浓度值、操弄气压计数值和麻醉剂类别选择等。

受影响的装置包括GE Aestiva及Aespire 7100，以及GE Aestiva及Aespire 7900共4款装置。

该漏洞可于本地网络上远端开采及开采技能需求不高，风险被列为中度的CVSSS v3 5.3（满分10分）。

CyberMDX于2018年10月通报GE及主管机关，但GE认为漏洞并不在其装置上，因此也没有发布修补程式。ZDNET引述GE的说法指出，漏洞只出在其装置的序列埠透过终端服务器连到TCP/IP网络的通讯协定中；若麻醉机不连上医院网络就不会被开采。

但GE仍建议医疗院所要确保终端服务器的安全性，并配合网络分区（network segmentation）、VLAN、装置隔离等措施强化安全。GE并说计划对此漏洞提供更新讯息。

美敦力（Medtronic）本月初因胰岛素泵产品含有安全漏洞，有机会让骇客窜改装置设定并控制胰岛素的输送，而宣布全面召回MiniMed 508与MiniMed Paradigm系列。