Миналата седмица американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) предупреди за две нови уязвимости в промишлени системи за управление (ICS) в продукти, широко използвани в здравеопазването и критичното производство – сектори, които са склонни да привличат киберпрестъпления.

Уязвимостите засягат здравния портал Connex на Baxter и линията програмируеми контролери MELSEC на Mitsubishi Electric. И двамата доставчици са издали актуализации за уязвимостите и са препоръчали смекчаващи мерки, които клиентите на съответните технологии могат да предприемат, за да намалят допълнително риска.

Уязвимости на Baxter Connex

Консултацията на CISA съдържаше информация за две уязвимости в здравния портал Connex на Baxter (по-рано Hillrom и Welch Allyn), които бяха описани като използваеми от разстояние и включващи ниска сложност на атаката. Едната от уязвимостите, обозначена като CVE-2024-6795, е проблем с максимална тежест (CVSS оценка 10,0), свързан с инжектиране на SQL, който неаутентифициран нападател може да използва, за да изпълнява произволни SQL заявки в засегнатите системи. CISA описва дефекта като даващ на нападателите възможност за достъп, промяна и изтриване на чувствителни данни и за предприемане на други действия на ниво администратор, включително изключване на базата данни.

Другата уязвимост в здравния портал Connex на Baxter, проследена като CVE-2024-6796, е свързана с неправилен контрол на достъпа и има оценка на сериозността по CVSS от 8,2 на 10. Недостатъкът дава възможност на нападателите да получат потенциален достъп до чувствителна информация за пациенти и лекари и да променят или изтрият някои от данните. Както и при CVE-2024-6795, уязвимостта за неправилен достъп в Baxter Connex Health Portal също може да бъде използвана дистанционно, включва ниска сложност на атаката и не изисква заплахата да има специални привилегии.

Baxter е отстранила проблемите, но CISA препоръча на засегнатите организации също така да сведат до минимум мрежовата експозиция на всички устройства на системите за управление и да се уверят, че те не са достъпни от интернет. CISA също така иска организациите да поставят защитни стени пред мрежите на системите за управление и да използват сигурни методи за отдалечен достъп, като например VPN, когато отдалеченият достъп е задължителен.

Досега няма признаци за експлоатиране на двете уязвимости, заяви CISA. Но през последните години технологиите в здравеопазването се превърнаха в основна цел за киберпрестъпниците. Само през тази година бяха регистрирани множество инциденти, включващи големи играчи в сферата на здравеопазването. Сред най-забележителните от тях е атаката с рансъмуер  срещу здравноосигурителната фирма Change Healthcare по-рано тази година, която за няколко дни извади от строя услуги, свързани с критични искове. Въпреки че след атаката Change Healthcare плати откуп от 22 млн. долара на групата за рансъмуер BlackCat, извършителят на заплахата все пак пусна чувствителна здравна информация за милиони американци в тъмната мрежа. При друг инцидент нападателите, за които се смята, че са групата за рансъмуер  Rhysida, свалиха от строя системите на детската болница Lurie в Чикаго и компрометираха записи на повече от 790 000 пациенти.

Множество фактори допринесоха за това секторът на здравеопазването да се превърне в основна мишена за киберпрестъпниците. Сред тях е фактът, че здравните организации обикновено съхраняват много ценни данни и са особено уязвими към всякакви оперативни смущения и влошаване на способността им да обслужват пациенти.

Недостатъци на Mitsubishi MELSEC

Междувременно консултацията на CISA относно програмируемите контролери MELSEC на Mitsubishi Electric за приложения за индустриална автоматизация и контрол е свързана с уязвимости, които доставчикът обяви по-рано. Един от съветите е свързан с уязвимост #denial of service of vulnerability, която Mitsubishi разкри за първи път през 2020 г. (CVE-2020-5652) и продължи да актуализира през годините, тъй като продължиха да се появяват нови проблеми, свързани с дефекта. Последната консултация добавя още продукти на Mitsubishi MELSEC към списъка на засегнатите технологии и предоставя нова информация за смекчаване на заплахата. Другата уязвимост, идентифицирана като CVE-2022-33324, също е проблем с отказ на услуга, но в резултат на това, което CISA описва като неправилно изключване или освобождаване на ресурси. Mitsubishi разкрива за първи път недостатъка през декември 2022 г. и продължава да актуализира своята консултация с нова информация. Последната актуализация, която добавя нови продукти към списъка на засегнатите технологии и предоставя нови съвети за смекчаване на последиците, е третата на компанията само за тази година за CVE-2022-33324.

Уязвимостите в ICS и други продукти на информационните технологии в производствения сектор са особено опасни по две причини: Повече от 75 % от производствените компании имат непоправени уязвимости с висока степен на опасност в своята среда; и атаките срещу производствени компании са се увеличили през последните години. Доклад на Armis, публикуван по-рано тази година, показва 165% увеличение на атаките срещу производствени компании през 2023 г., което ще ги превърне във втория най-атакуван сектор след комуналните услуги.