КиберосноваSGRC
BDU:2021-01651
Высокий

BDU:2021-01651: Уязвимость медицинского диагностического оборудования GE Healthcare, связанная с отсутствием защиты служебных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации или повысить свои привилегии

CVSS v39.8
CVSS v27.5

Детали уязвимости BDU:2021-01651

Описание

Уязвимость медицинского диагностического оборудования GE Healthcare связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации или повысить свои привилегии

Что делать с BDU:2021-01651

Высокая уязвимость (CVSS 9.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
7.5
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CVE — международный идентификатор

CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (122)

ВендорНазваниеВерсияПлатформа
GE HealthcareSigna HDxt 3.0THD 16Не указана
GE HealthcareSigna HDxt 3.0THD 23Не указана
GE HealthcareSigna HDx 3.0THD 16Не указана
GE HealthcareSigna HDx 3.0THD 23Не указана
GE HealthcareBrivo MR355 1.5TSV20.1Не указана
GE HealthcareBrivo MR355 1.5TSV23.0Не указана
GE HealthcareOptima MR360SV20.1Не указана
GE HealthcareOptima MR360SV23.0Не указана
GE HealthcareSigna HDx 1.5THD 16Не указана
GE HealthcareSigna HDx 1.5THD 23Не указана
GE HealthcareSigna HDiHD 16Не указана
GE HealthcareSigna HDiHD 23Не указана
GE HealthcareSigna VIBRANTHD 16Не указана
GE HealthcareSigna VIBRANTHD 23Не указана
GE HealthcareLOGIQ 5BT03Не указана
GE HealthcareLOGIQ 7BT03Не указана
GE HealthcareLOGIQ 7BT04Не указана
GE HealthcareLOGIQ 7BT06Не указана
GE HealthcareLOGIQ 9BT02Не указана
GE HealthcareLOGIQ 9BT03Не указана
GE HealthcareLOGIQ 9BT04Не указана
GE HealthcareLOGIQ 9BT06Не указана
GE HealthcareVivid IBT06Не указана
GE HealthcareVivid 7от BT02 до BT06 включительноНе указана
GE HealthcareEchoPAC (Turnkey)BT06Не указана
GE HealthcareImage Vault (Turnkey)4.3Не указана
GE HealthcareVoluson 730BT05Не указана
GE HealthcareVoluson 730BT08Не указана
GE HealthcareAWот 4.0 до 4.6 включительноНе указана
GE HealthcareAWSот 2.0 до 3.0 включительноНе указана
GE HealthcareInnova 2000-Не указана
GE HealthcareInnova 3100-Не указана
GE HealthcareInnova 4100-Не указана
GE HealthcareInnova 2100-IQ-Не указана
GE HealthcareInnova 3100-IQ-Не указана
GE HealthcareInnova 4100-IQ-Не указана
GE HealthcareInnova 212-IQ-Не указана
GE HealthcareInnova 313-IQ-Не указана
GE HealthcareOptima 320-Не указана
GE HealthcareOptima CL320i-Не указана
GE HealthcareOptima CL323i-Не указана
GE HealthcareOptima CL320-Не указана
GE HealthcareOptima 3100-Не указана
GE HealthcareOptima IGS 320-Не указана
GE HealthcareOptima IGS 330-Не указана
GE HealthcareInnova IGS 5x0-Не указана
GE HealthcareInnova IGS 6x0-Не указана
GE HealthcareInnova IGS 7x0-Не указана
GE HealthcareBrivo XR118-Не указана
GE HealthcareBrivo XR383-Не указана

Показано 50 из 122

Рекомендации по устранению

Использование рекомендаций: https://us-cert.cisa.gov/ics/advisories/icsma-20-343-01

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации0.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2020-12-08

Опубликована

2021-03-30

Обновлена

2021-03-30

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно
Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0