糖尿病患者向け医療機器に複数の脆弱性 - インスリン不正投与のおそれ

Johnson＆Johnsonの子会社であるAnimasが提供する医療機器「Animas OneTouch Ping」において、不正に操作を行ったり、応答内容を偽装されるなど、複数の脆弱性が含まれていることがわかった。

同製品は、糖尿病患者へ少量ずつ持続的にインスリンを注入するインスリンポンプ。独自プロトコルによる無線通信機能を備えており、メーターによる遠隔制御機能を実現しているが、通信内容を暗号化しておらず、複数の脆弱性が含まれていることが判明した。

脆弱性を発見したRapid7によれば、攻撃者が遠隔からメーターを偽装し、不正にインスリンの投与を行うことが可能。利用者が操作をキャンセルしないと低血糖を引き起こすおそれがある。

具体的には、治療に関する情報やパスワードなどの機密情報を平文で通信する「CVE-2016-5084」が判明。くわえてペアリング機能の安全性が不十分で、通信内容から「なりすまし」に利用できる情報を取得できる「CVE-2016-5085」が含まれる。

さらに通信内容をキャプチャし、リプレイすることで、なりすましによる操作が可能となる「CVE-2016-5086」が存在。スプーフィングにより認証が回避され、応答内容を偽装されるおそれもある。

Johnson＆Johnsonでは、患者や医療関係者に通知するものの、脆弱性に対応したファームウェアをリリースする予定はないという。また無線機能をオフにすることで脆弱性の影響は受けないとしている。

同問題に対してRapid7は、これら脆弱性の悪用リスクは比較的低く、パニックを引き起こすものではないと説明。機器の使用について意志決定を行う場合は、医療関係者に相談するなど冷静な対応を呼びかけている。

（Security NEXT - 2016/10/05 ）ツイート