Vulnérabilités critiques dans des produits Baxter - Mise à jour le 7 mars 2022

Date de publication :

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Perte de confidentialité et d’intégrité d’informations sensibles
  • Exécution de commandes arbitraires
  • Déni de service
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : 9.8 max

Existence d’un code d’exploitation

  • Des codes d’exploitation sont disponibles publiquement pour CVE-2017-0143. L’exploitation des autres vulnérabilités reste également triviale.

Composants vulnérables

  • Baxter Sigma Spectrum Infusion Pumps
  • Baxter Phoenix Hemodialysis Delivery System
  • Baxter PrismaFlex et PrisMax
  • Baxter ExactaMix

La liste exhaustive des versions vulnérables est disponible sur les bulletins sources disponibles en référence.

CVE

  • CVE-2020-12040
  • CVE-2020-12045
  • CVE-2020-12041
  • CVE-2020-12047
  • CVE-2020-12048
  • CVE-2020-12035
  • CVE-2020-12016
  • CVE-2020-12008
  • CVE-2020-12032
  • CVE-2017-0143

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour les appareils PrismaFlex vers la version SW 8.2 ou supérieure

  • Migrer les appareils PrisMax vers PrisMaxv3 avec DCM (Digital Communication Module)

  • Mettre à jour les appareil ExactaMix EM 2400 vers la version 1.13, et les appareils ExactaMix EM1200 vers la version 1.4

  • Aucun correctif de sécurité n’est disponible pour les systèmes de perfusion Baxter Sigma Spectrum

Recommandations spécifiques par Baxter

  • Isoler Spectrum Infusion System dans son propre réseau VLAN afin que ce dernier ne soit pas lié avec d'autres systèmes de l'hôpital. Appliquer les mesures nécessaires pour empêcher qu'un attaquant ne puisse accomplir une offensive de type Man in the Middle (MiTM).

  • Appliquer la sécurité des protocoles (WPA2, EAP-TLS...) afin de permettre une authentification et un chiffrement des données qui communiquent avec Spectrum Infusion System.

  • Il est recommandé de faire redémarrer le module Wireless Battery Module (WBM) suite à une configuration du réseau. Pour cela, retirer le module WBM situé à l'arrière de l'appareil Spectrum pendant environ 10  à 15 secondes avant de l'insérer à nouveau.

  • Les utilisateurs doivent surveiller ou bloquer les trafics inhabituels (par exemple les trafics liés au FTP) aux limites du réseau VLAN spécifique de Spectrum.

  • En dernier recours, il peut être considéré de désactiver les fonctionnalités sans-fil des appareils vulnérables pouvant fonctionner sans connectique réseau: il s’agit notamment du cas des systèmes de perfusion Baxter Sigma Spectrum.

  • Il existe Spectrum IQ Infusion System qui n'est pas concerné par les vulnérabilités présentes dans ce bulletin.
     

Des informations supplémentaires sont disponibles (en anglais), dans les bulletins source disponibles en référence.

Liens