Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

糖尿病患者向け医療機器に複数の脆弱性 - インスリン不正投与のおそれ

Johnson&Johnsonの子会社であるAnimasが提供する医療機器「Animas OneTouch Ping」において、不正に操作を行ったり、応答内容を偽装されるなど、複数の脆弱性が含まれていることがわかった。

同製品は、糖尿病患者へ少量ずつ持続的にインスリンを注入するインスリンポンプ。独自プロトコルによる無線通信機能を備えており、メーターによる遠隔制御機能を実現しているが、通信内容を暗号化しておらず、複数の脆弱性が含まれていることが判明した。

脆弱性を発見したRapid7によれば、攻撃者が遠隔からメーターを偽装し、不正にインスリンの投与を行うことが可能。利用者が操作をキャンセルしないと低血糖を引き起こすおそれがある。

具体的には、治療に関する情報やパスワードなどの機密情報を平文で通信する「CVE-2016-5084」が判明。くわえてペアリング機能の安全性が不十分で、通信内容から「なりすまし」に利用できる情報を取得できる「CVE-2016-5085」が含まれる。

さらに通信内容をキャプチャし、リプレイすることで、なりすましによる操作が可能となる「CVE-2016-5086」が存在。スプーフィングにより認証が回避され、応答内容を偽装されるおそれもある。

Johnson&Johnsonでは、患者や医療関係者に通知するものの、脆弱性に対応したファームウェアをリリースする予定はないという。また無線機能をオフにすることで脆弱性の影響は受けないとしている。

同問題に対してRapid7は、これら脆弱性の悪用リスクは比較的低く、パニックを引き起こすものではないと説明。機器の使用について意志決定を行う場合は、医療関係者に相談するなど冷静な対応を呼びかけている。

(Security NEXT - 2016/10/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

「VMware vCenter Server」の深刻な脆弱性 - 悪用リスク上昇
「VMware vCenter Server」に深刻な脆弱性 - 「VMware ESXi」の脆弱性も
Windows向け「Zscaler Client Connector」に権限昇格の脆弱性
「Cisco Application Services Engine」などに深刻な脆弱性
「Movable Type」にXSSの脆弱性 - アップデートが公開
「Firefox 86」が公開、Cookie対策強化 - 脆弱性12件を修正
SonicWall、VPN製品向けに追加アップデート - すぐに更新を
CiscoのWindows向けVPNクライアントに脆弱性 - 更新を
「Office for Mac」向けにセキュリティ更新 - 脆弱性2件を修正
「BIND 9」にリモートより悪用可能な脆弱性 - アップデートが公開