[sbis_l] NOTÍCIA: Pesquisadores invadem facilmente sistema hospitalar da Philips

Segurança, algo que não podemos descuidar nunca...

 

Obrigado!

 

Lucas Rizzi

Gestor de Tecnologia da Informação

SERMED Saúde Ltda.

(16)9187 5766

(16)3946 9500

Skype: lucke.stz

 

"A Qualidade somos todos nós"

 

 

http://idgnow.uol.com.br/ti-corporativa/2013/01/18/pesquisadores-invadem-facilmente-sistema-hospitalar-da-philips/

 

Falha permite a invasores controle total do produto, que é tipicamente integrado a sistemas hospitalares múltiplos - incluindo bases de dados

Um sistema de gerenciamento de informações da Philips, usado para realizar de forma mais eficiente tarefas administrativas do hospital, contém vulnerabilidades que podem ser exploradas para obter o controle total do produto, informou um fornecedor de segurança.

A empresa de segurança Cylance divulgou as falhas no sistema Xper na quinta-feira (17/1), durante a conferência de segurança S4, que aconteceu em Miami, Flórida. O produto é tipicamente integrado a sistemas hospitalares múltiplos, incluindo bases de dados.

Os pesquisadores Billy Rios e Terry McCorkle compraram o sistema de um revendedor, depois que descobriram que o equipamento não poderia ser adquirido diretamente do fabricante sem uma licença. O dispositivo que roda o software tinha uma marca de inventário, indicando que era de um hospital em Utah (EUA) - que os pesquisadores se recusaram a identificar.

O primeiro problema de segurança estava na forma como o software, que roda em Windows XP, lida com a autenticação. Os pesquisadores encontraram três contas de usuário previamente configuradas e protegidas por senha, que eles foram capazes de facilmente quebrar usando o RainbowCrack - um programa de computador que gera rainbow tables (tabelas de consulta), usados para descobrir valores que foram criptografados em hash, dados por sistemas a nomes de usuário e senhas.

Uma vez que as credenciais são obtidas, uma pessoa teria acesso total ao sistema Xper, disse Rios.

A segunda falha de segurança está na forma como o software leva as conexões recebidas de sistemas médicos a uma porta específica. Os pesquisadores usaram a vulnerabilidade "heap overflow" para assumir o controle do produto.

"Se vemos um sistema Xper, então há algumas maneiras de conseguirmos o controle", disse Rios. "Uma é que sabemos as senhas. E duas, se não sabemos as senhas, podemos usar apenas um heap overflow para assumir o dispositivo de qualquer maneira."