Um dos maiores perigos dos sistemas críticos e industriais é o uso de velhas tecnologias ao lado de novos protocolos de comunicação. Como um exemplo fresquinho desse problema, pesquisadores da empresa de segurança cibernética CyberMDX acabam de denunciar a existência de duas falhas graves no Alaris Gateway Workstation (AGW), uma central de controle de bombas de infusão comercializadas pela gigante norte-americana Becton Dickson.
Bombas de infusão, caso você não saiba, são aqueles instrumentos hospitalares eletrônicos utilizados para controlar o fluxo de remédios líquidos ou nutrientes em aplicação intravenosa. A AGW, no caso, é uma plataforma que possibilita a conexão — com ou sem fio — das bombas ao sistema de informações clínicas do hospital, permitindo que os operadores acompanhem sua operação de forma remota. O problema é que tal equipamento (amplamente utilizado em clínicas nos EUA) possui duas vulnerabilidades.
A mais grave delas — descoberta em setembro de 2018, mas que foi revelada só agora — permite que um atacante sequestre as bombas e ajuste os seus comandos remotamente. Dessa forma, um ator malicioso poderia facilmente interromper o fornecimento de um remédio crítico para um paciente em estado terminal ou até mesmo aumentar a dosagem de um fármaco controlado, causando uma overdose. De acordo com a CyberMDX, o problema está no firmware do computador embutido na central.
Em sua defesa, a Becton Dickson afirmou que as vulnerabilidades estão presentes apenas em edições antigas do firmware e que não há indícios de que elas tenham sido usadas por criminosos até o momento. A fabricante recomenda que todos os seus clientes instalem a última versão do software que estiver disponível e segreguem suas redes VLAN, evitando que eventuais invasores tenham acesso a esse tipo de equipamento crítico.
Fonte: Naked Security