Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

糖尿病患者向け医療機器に複数の脆弱性 - インスリン不正投与のおそれ

Johnson&Johnsonの子会社であるAnimasが提供する医療機器「Animas OneTouch Ping」において、不正に操作を行ったり、応答内容を偽装されるなど、複数の脆弱性が含まれていることがわかった。

同製品は、糖尿病患者へ少量ずつ持続的にインスリンを注入するインスリンポンプ。独自プロトコルによる無線通信機能を備えており、メーターによる遠隔制御機能を実現しているが、通信内容を暗号化しておらず、複数の脆弱性が含まれていることが判明した。

脆弱性を発見したRapid7によれば、攻撃者が遠隔からメーターを偽装し、不正にインスリンの投与を行うことが可能。利用者が操作をキャンセルしないと低血糖を引き起こすおそれがある。

具体的には、治療に関する情報やパスワードなどの機密情報を平文で通信する「CVE-2016-5084」が判明。くわえてペアリング機能の安全性が不十分で、通信内容から「なりすまし」に利用できる情報を取得できる「CVE-2016-5085」が含まれる。

さらに通信内容をキャプチャし、リプレイすることで、なりすましによる操作が可能となる「CVE-2016-5086」が存在。スプーフィングにより認証が回避され、応答内容を偽装されるおそれもある。

Johnson&Johnsonでは、患者や医療関係者に通知するものの、脆弱性に対応したファームウェアをリリースする予定はないという。また無線機能をオフにすることで脆弱性の影響は受けないとしている。

同問題に対してRapid7は、これら脆弱性の悪用リスクは比較的低く、パニックを引き起こすものではないと説明。機器の使用について意志決定を行う場合は、医療関係者に相談するなど冷静な対応を呼びかけている。

(Security NEXT - 2016/10/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Firefox 82」が登場 - 脆弱性7件に対応
「Chrome 86.0.4240.111」が公開 - 悪用済みのゼロデイ脆弱性を修正
「Java SE」のアップデートが公開、脆弱性8件を解消
Oracle、定例パッチで402件の脆弱性に対処 - CVSS基本値「9.0」以上が82件
米政府、中国関与のサイバー攻撃で利用された脆弱性25件を公表
VMwareの複数製品に脆弱性 - CVSS基本値が「9.8」の脆弱性も
Adobe、10製品向けにセキュリティアップデートを公開
SonicWall製品のVPNに深刻な脆弱性 - 約80万台に影響か
「VMware Horizon」のクライアントにサービス拒否の脆弱性
Linuxに脆弱性「BleedingTooth」が判明 - 近接環境からコード実行のおそれ