Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

糖尿病患者向け医療機器に複数の脆弱性 - インスリン不正投与のおそれ

Johnson&Johnsonの子会社であるAnimasが提供する医療機器「Animas OneTouch Ping」において、不正に操作を行ったり、応答内容を偽装されるなど、複数の脆弱性が含まれていることがわかった。

同製品は、糖尿病患者へ少量ずつ持続的にインスリンを注入するインスリンポンプ。独自プロトコルによる無線通信機能を備えており、メーターによる遠隔制御機能を実現しているが、通信内容を暗号化しておらず、複数の脆弱性が含まれていることが判明した。

脆弱性を発見したRapid7によれば、攻撃者が遠隔からメーターを偽装し、不正にインスリンの投与を行うことが可能。利用者が操作をキャンセルしないと低血糖を引き起こすおそれがある。

具体的には、治療に関する情報やパスワードなどの機密情報を平文で通信する「CVE-2016-5084」が判明。くわえてペアリング機能の安全性が不十分で、通信内容から「なりすまし」に利用できる情報を取得できる「CVE-2016-5085」が含まれる。

さらに通信内容をキャプチャし、リプレイすることで、なりすましによる操作が可能となる「CVE-2016-5086」が存在。スプーフィングにより認証が回避され、応答内容を偽装されるおそれもある。

Johnson&Johnsonでは、患者や医療関係者に通知するものの、脆弱性に対応したファームウェアをリリースする予定はないという。また無線機能をオフにすることで脆弱性の影響は受けないとしている。

同問題に対してRapid7は、これら脆弱性の悪用リスクは比較的低く、パニックを引き起こすものではないと説明。機器の使用について意志決定を行う場合は、医療関係者に相談するなど冷静な対応を呼びかけている。

(Security NEXT - 2016/10/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

全日空のiOSアプリに脆弱性 - 中間者攻撃受けるおそれ
「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C&Cは偽求人サイト
CMSの「Zenphoto」にコード実行の脆弱性 - 最新版で修正
「BIND 9」が意図せずオープンリゾルバとなるおそれ - 設定の確認を
MS、AMDプロセッサ向けに「Spectre」緩和策を追加
「Chrome」に重要度「高」の脆弱性 - アップデートがリリース
「OpenSSL」にDoS攻撃受ける脆弱性 - 修正は次期アップデートで
MS、6月の月例パッチをリリース - 脆弱性1件が公開済み、悪用は未確認
Windows版LINEにリンクでDLL読込パスを指定できる脆弱性 - すでに修正済み
スマートデバイス向け「VMware AirWatch Agent」に深刻な脆弱性