Les chercheurs en sécurité informatique de la division Internet of Things de Palo Alto, Unit 42, ont analysé les données des clients de leur logiciel de sécurité. Selon eux, sur plus de 200 000 pompes à perfusion de sept fabricants, 75 % présentaient une ou plusieurs failles de sécurité ; plus de la moitié étaient même classées comme critiques.

Le top dix

Les dix failles de sécurité les plus fréquemment découvertes à cette occasion datent en partie de plusieurs années. Des mises à jour du micrologiciel des fabricants sont disponibles pour combler les failles. Il semble toutefois que les pompes à perfusion médicales fassent partie des appareils de l’Internet des objets qui ne sont pas suffisamment pris en compte dans les plans de maintenance pour les mises à jour des produits et les mises à jour de sécurité.

La faille de sécurité la plus fréquemment trouvée concerne une pile réseau TCP/IP de Windriver, qui a été corrigée lors d’une mise à jour des systèmes d’exploitation VxWorks en 2019. Celle-ci est par exemple contenue dans des modules Ethernet, comme ceux fabriqués par Siemens, qui sont utilisés dans de tels appareils. Cette vulnérabilité et d’autres font partie des failles appelées « Urgent/11 », qui dormaient en partie depuis de nombreuses années dans VxWorks et dont certaines avaient même un potentiel de ver.

Catégories

Palo Alto classe les vulnérabilités en trois groupes qui ont des conséquences différentes sur la sécurité des appareils. D’une part, il y aurait des failles de sécurité dans des composants de fabricants tiers comme la pile réseau TCP/IP Windriver. Elles auraient pour conséquence que les administrateurs ne devraient pas seulement garder un œil sur les failles dans les appareils des fabricants eux-mêmes.

D’autres vulnérabilités entrent dans la catégorie des débordements et des accès non autorisés. Cela permettrait aux pirates d’accéder aux appareils, de les mettre hors service par exemple en manipulant le trafic réseau ou de les faire se comporter de manière non documentée. Dans un environnement hospitalier, cela peut entraîner une interruption des activités et des soins aux patients. Dans ce contexte, les responsables informatiques doivent également tenir compte du fait que non seulement les failles de sécurité, mais aussi les mots de passe standard peuvent ouvrir ces failles.

Enfin, certaines des failles de sécurité observées pourraient entraîner la fuite d’informations sensibles. Il s’agit notamment d’informations sur le fonctionnement de l’appareil ou de données spécifiques au patient, ainsi que de données de configuration de l’appareil et du réseau.

Protection proactive

Dans son message, Unit 42 conseille de protéger de manière proactive les appareils IoT tels que les pompes à perfusion. Cela implique en premier lieu de détecter et d’inventorier les appareils utilisés. Ensuite, il faut procéder à une évaluation globale des risques. Il devrait en résulter une politique de minimisation des risques. Enfin, il convient de prévenir les menaces en empêchant, entre autres, les requêtes DNS en tant que trafic de commande et de contrôle ou en interdisant l’accès à des URL connues pour être malveillantes.

Les responsables informatiques et les administrateurs de réseaux d’hôpitaux, par exemple, devraient vérifier si les nombreuses pompes à perfusion de leurs réseaux sont à jour au niveau du micrologiciel. Même si les appareils médicaux ont été déplacés dans leurs propres VLAN, ils pourraient être manipulés en cas d’attaque réussie et mettre ainsi en danger la sécurité des patients.