Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

糖尿病患者向け医療機器に複数の脆弱性 - インスリン不正投与のおそれ

Johnson&Johnsonの子会社であるAnimasが提供する医療機器「Animas OneTouch Ping」において、不正に操作を行ったり、応答内容を偽装されるなど、複数の脆弱性が含まれていることがわかった。

同製品は、糖尿病患者へ少量ずつ持続的にインスリンを注入するインスリンポンプ。独自プロトコルによる無線通信機能を備えており、メーターによる遠隔制御機能を実現しているが、通信内容を暗号化しておらず、複数の脆弱性が含まれていることが判明した。

脆弱性を発見したRapid7によれば、攻撃者が遠隔からメーターを偽装し、不正にインスリンの投与を行うことが可能。利用者が操作をキャンセルしないと低血糖を引き起こすおそれがある。

具体的には、治療に関する情報やパスワードなどの機密情報を平文で通信する「CVE-2016-5084」が判明。くわえてペアリング機能の安全性が不十分で、通信内容から「なりすまし」に利用できる情報を取得できる「CVE-2016-5085」が含まれる。

さらに通信内容をキャプチャし、リプレイすることで、なりすましによる操作が可能となる「CVE-2016-5086」が存在。スプーフィングにより認証が回避され、応答内容を偽装されるおそれもある。

Johnson&Johnsonでは、患者や医療関係者に通知するものの、脆弱性に対応したファームウェアをリリースする予定はないという。また無線機能をオフにすることで脆弱性の影響は受けないとしている。

同問題に対してRapid7は、これら脆弱性の悪用リスクは比較的低く、パニックを引き起こすものではないと説明。機器の使用について意志決定を行う場合は、医療関係者に相談するなど冷静な対応を呼びかけている。

(Security NEXT - 2016/10/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

「SugarCRM」脆弱性 - 9年前の修正にCVE番号
前月の更新で脆弱性13件を修正 - Atlassian
「QNX SDP」の画像解析に深刻な脆弱性 - 修正版を公開
「Cisco Meraki 」にDoS脆弱性 - SSL VPN処理で強制再起動
「IBM QRadar SIEM」に複数脆弱性 - 修正パッチをリリース
ゲームサーバ管理ツール「Pterodactyl Panel」に脆弱性 - 悪用の動きも
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
「GeoTools」にXXE脆弱性 - 「GeoServer」なども影響
「Roundcube」にアップデート - 前バージョンの不具合を解消
Trend Microの暗号化管理製品にRCEや認証回避など深刻な脆弱性