Informes de segurança

(Atualização mais recente: 3 de abril de 2024)

Vulnerabilidade

CVE-2023-46604 

Contexto/visão geral

A bioMérieux está ciente, e por excesso de cuidado, continua a monitorar uma vulnerabilidade autenticada no NextGen Mirth^® Connect, uma plataforma de integração de dados de saúde de código aberto de terceiros.  Essas vulnerabilidades afetam o NextGen Mirth^® Connect 4.4.0 e versões anteriores. Se explorada, esse vulnerabilidade pode permitir que um invasor comprometa ou ganhe acesso não autorizado a dados.

Depois de tomar conhecimento sobre a vulnerabilidade, a bioMérieux começa a realizar investigações de cada produto para determinar se eles são afetados. Essas investigações em andamento determinaram que, embora muitos dos nossos produtos não sejam afetados, alguns produtos incluem versões do ActiveMQ^® que são vulneráveis. Embora a bioMérieux não tenha evidências de que essa vulnerabilidade tenha sido explorada em seus produtos ou recursos, recomendamos que os clientes sigam as orientações enviadas a eles ou falem com o representante local da bioMérieux.

 

(Atualização mais recente: 3 de abril de 2024)

Vulnerabilidade

CVE-2023-43208

Contexto/visão geral

A bioMérieux está ciente, e por excesso de cuidado, continua a monitorar uma vulnerabilidade autenticada na versão 4.4.0 e anteriores do NextGen Mirth^® Connect, uma plataforma de integração de dados de saúde de código aberto de terceiros. Se explorada, esse vulnerabilidade pode permitir que um invasor comprometa ou ganhe acesso não autorizado a dados.

Depois de tomar conhecimento sobre a vulnerabilidade, a bioMérieux começa a realizar investigações de cada produto para determinar se eles são afetados. Essas investigações em andamento determinaram que, embora muitos dos nossos produtos não sejam afetados, alguns produtos incluem versões do NextGen Mirth^® Connect que são vulneráveis. Embora a bioMérieux não tenha evidências de que essa vulnerabilidade tenha sido explorada em seus produtos ou recursos, recomendamos que os clientes sigam as orientações enviadas a eles ou falem com o representante local da bioMérieux.

 

(Atualização mais recente: 8 de março de 2022)

Visão geral

A bioMérieux está ciente e está monitorando um conjunto de vulnerabilidades chamado Access:7, que recentemente foi divulgado em um Servidor de desktop Axeda e um agente Axeda da PTC que a bioMérieux usa. Depois de tomar conhecido das vulnerabilidades em potencial, a bioMérieux deu início a uma investigação para determinar qualquer impacto em potencial sobre seus produtos.  

O agente Axeda da PTC e o servidor de desktop Axeda são componentes do VILINK^® da bioMérieux com o serviço Axeda, uma solução segura que oferece acesso remoto, manutenção proativa e atualizações remotas. O agente Axeda é um componente da solução VILINK^® carregado nos computadores da bioMérieux e que usa a porta TCP 443 de saída para estabelecer um túnel TLS com um servidor VILINK^®. O VILINK^® com Axeda possibilita que o pessoal de suporte faça o diagnóstico e resolva problemas de software e instrumento, dê suporte proativo a sistemas e mantenha os sistemas atualizados. O VILINK^® não é um dispositivo médico e não fornece diagnóstico clínico ou industrial.  

Como descrito em mais detalhes abaixo, a investigação da bioMérieux até o momento determinou que o VILINK^® com Axeda não é afetado por quatro das sete vulnerabilidades do PTC. As três vulnerabilidades restantes representam baixo risco ao VILINK^® com Axeda.

A bioMérieux continua a avaliar remediação e controles que eliminam ou reduzem ainda mais qualquer risco restante, e atualizará este informe conforme o necessário.

Observação: O VILINK^® com Securelink não é afetado por este conjunto de vulnerabilidades.

Informe

O seguinte resume cada vulnerabilidade conhecida que foi divulgada pela  PTC, além de seu número CVE, sua pontuação CVSS 3.1 de “base” ajustada e a pontuação CVSS 3.1 ambiental contextualizada, que leva em conta as variáveis ambientais e outros atenuantes de risco específicos da solução VILINK^® com Axeda distribuída pela bioMérieux ou suas subsidiárias.

Tabela de resumo
(para mais informações, consulte as descrições completas de CVE abaixo):

CVE	Aplica-se ao VILINK® com a solução Axeda	Pontuação de base do CVSS 3.1	Pontuação ambiental do CVSS 3.1
CVE-2022-25251	Sim	9,8	6,4
CVE-2022-25250	Sim	7,5	2,3
CVE-2022-25252	Sim	7,5	2,3
CVE-2022-25246	Não	9,8	Não afetado
CVE-2022-25247	Não	9,8	Não afetado
CVE-2022-25248	Não	5,3	Não afetado
CVE-2022-25249	Não	7,5	Não afetado

CVE-2022-25251

Descrição (fornecida pela CVE):

Configuração de Ler e modificar agente do xGate e EKernel: O produto afetado pode permitir que um invasor envie determinadas mensagens XML a uma porta específica sem autenticação adequada. A exploração bem-sucedida dessa vulnerabilidade pode permitir que um invasor não autenticado remoto leia e modifique a configuração do produto afetado.

Pontuação básica de CVSS 3.1: 9,8

Pontuação ambiental CVSS 3.1 contextualizada: 6,4

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/CR:X/IR:X/AR:X/MAV:L/MAC:H/MPR:H/MUI:X/MS:X/MC:X/MI:X/MA:X

Análise da bioMérieux:

Os sistemas da bioMérieux têm o Windows Firewall ativado por padrão. (Ajuste de fábrica). A porta TCP 3031 está bloqueada por padrão por meio do Firewall do Windows. Essa exploração exigiria que a pessoa que representa a ameaça tivesse antes explorado com sucesso outra vulnerabilidade para obter privilégios administrativos do SO para alterar os ajustes do firewall. A bioMérieux não tem nenhuma indicação nem tomou conhecimento da existência ou da exploração de outra vulnerabilidade desse tipo. 

Embora essa vulnerabilidade seja inicialmente classificada com um CVSS de 9,8, a complexidade dos ataques no VILINK^® com Axeda reduz o nível de risco para baixo.

Porém, se o firewall tiver sido desabilitado ou alterado de seu estado padrão, a pontuação de CVSS de base de 9,8 permanecerá. Consulte as recomendações listadas abaixo.

CVE-2022-25250

Descrição (fornecida pela CVE):

xGate e EKernel, Encerramento: O produto afetado pode permitir que um invasor envie um determinado comando a uma porta específica sem autenticação. A exploração bem-sucedida dessa vulnerabilidade pode permitir que um invasor não autenticado remoto encerre um serviço específico.

Pontuação básica de CVSS 3.1: 7,5

Pontuação ambiental CVSS 3.1 contextualizada: 2,3

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/CR:X/IR:X/AR:L/MAV:L/MAC:H/MPR:H/MUI:X/MS:X/MC:X/MI:X/MA:X

Análise da bioMérieux:

Os sistemas da bioMérieux têm o Windows Firewall ativado por padrão. (Ajuste de fábrica). A porta TCP 3031 está bloqueada por padrão por meio do Firewall do Windows. Portanto, o risco para o VILINK^® com o serviço Axeda é baixo.

Além disso, esse CVE não representa risco a nenhum dispositivo ou sistema em que o VILINK^® com o Axeda esteja instalado.

Porém, se o firewall tiver sido desabilitado ou alterado de seu estado padrão, a pontuação ambiental de CVSS contextualizada será ajustada para 5,7. Consulte as recomendações listadas abaixo.

Pontuação ambiental CVSS 3.1 contextualizada sem firewall: 5,7

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/CR:X/IR:X/AR:L/MAV:X/MAC:X/MPR:X/MUI:X/MS:X/MC:X/MI:X/MA:X

Essa pontuação ambiental leva em conta o requisito de baixa disponibilidade do serviço VILINK^® com Axeda em nossos dispositivos ou sistemas. A indisponibilidade do serviço O VILINK^® com Axeda não afeta o funcionamento adequado de nenhum dispositivo ou sistema.

CVE-2022-25252

Descrição (fornecida pela CVE):

xBase39: O produto afetado, ao receber uma determinada entrada, gera uma exceção. Serviços que usam essa função não lidam com a exceção. A exploração bem-sucedida dessa vulnerabilidade pode permitir que um invasor não autenticado remoto cause uma falha no produto afetado.

Pontuação básica de CVSS 3.1: 7,5

Pontuação CVSS 3.1 contextualizada: 2,3

Análise da bioMérieux:

Os sistemas da bioMérieux têm o Windows Firewall ativado por padrão. (Ajuste de fábrica). A Porta TCP 3011 está bloqueada por padrão por meio do Windows Firewall. Portanto, o risco para o VILINK^® com o serviço Axeda é baixo.

Além disso, esse CVE não representa risco a nenhum dispositivo ou sistema em que o VILINK^® com o Axeda esteja instalado.

Porém, se o firewall tiver sido desabilitado ou alterado de seu estado padrão, a pontuação de CVSS contextualizada será ajustada para 5,7. Consulte as recomendações listadas abaixo.

Pontuação ambiental CVSS 3.1 contextualizada sem firewall: 5,7

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/CR:X/IR:X/AR:L/MAV:X/MAC:X/MPR:X/MUI:X/MS:X/MC:X/MI:X/MA:X

Essa pontuação ambiental leva em conta o requisito de baixa disponibilidade do serviço VILINK^® com Axeda em nossos dispositivos ou sistemas. A indisponibilidade do serviço O VILINK^® com Axeda não afeta o funcionamento adequado de nenhum dispositivo ou sistema.

CVE-2022-25246

Descrição (fornecida pela CVE):

AxedaDesktopServer.exe: O produto afetado usa credenciais codificadas para sua instalação UltraVNC. A exploração bem-sucedida dessa vulnerabilidade também poderia permitir que um invasor autenticado assumisse controle remoto total do sistema operacional de host por meio de conexão de Desktop Remoto.

Pontuação básica de CVSS 3.1: 9,8

Análise da bioMérieux: não afetada

Uma senha codificada genérica pode permitir que um invasor de posse dessa senha se conecte remotamente a sistemas que executam o AxedaDesktopServer (porta TCP/5920) em sua configuração padrão. Essa configuração padrão, porém, nunca é usada no contexto de agentes do VILINK^®. 

A bioMérieux alterou por padrão a configuração AxedaDeskTopServer.exe e removeu as credenciais codificadas.

Além disso, o VILINK^® com Agentes Axeda é configurado para exigir aprovação explícita do usuário final ou a apresentação de credenciais de usuário do SO are (sistemas autônomos) antes de autorizar qualquer sessão remota.

Portanto, o VILINK^® com Axeda não é afetado.

CVE-2022-25247

Descrição (fornecida pela CVE):

ERemoteServer, Acesso do sistema: O produto afetado pode permitir que um invasor envie determinados comandos a uma porta específica sem autenticação. A exploração bem-sucedida dessa vulnerabilidade pode permitir que um invasor não autenticado remoto obtenha acesso total ao sistema de arquivos e à execução remota de código.

Pontuação básica de CVSS 3.1: 9,8

Análise da bioMérieux:  não afetada

O ERemoteServer.exe nunca é executado no contexto de uso do VILINK^®. As portas TCP 3076 e 3077 são bloqueadas por configurações de firewall padrão de sistemas comerciais com o Windows Firewall habilitado.

Portanto, o VILINK^® com Axeda não é afetado.

CVE-2022-25248

Descrição (fornecida pela CVE):

ERemoteServer, Log de texto do evento: Ao conectar-se a uma determinada porta, o produto afetado fornece o log de evento do serviço específico.

Pontuação básica de CVSS 3.1: 5,3

Análise da bioMérieux: não afetada

O ERemoteServer.exe nunca é executado no contexto de uso do VILINK^®. As portas TCP 3076 e 3077 são bloqueadas por configurações de firewall padrão de sistemas comerciais com o Windows Firewall habilitado

Portanto, o VILINK^® com Axeda não é afetado.  

CVE-2022-25249

Descrição (fornecida pela CVE):

xGate e EKernel, passagem de diretório: O produto afetado (não se aplica ao agente Axeda 6.9.2 e 6.9.3) é vulnerável à passagem de diretório. Isso poderia permitir que um invasor remoto não autenticado obtivesse acesso de leitura do sistema de arquivos por meio de um servidor da Web

Pontuação básica de CVSS 3.1: 7,5

Análise da bioMérieux: não afetada

O AxedaWebServer vulnerável não está integrado ao VILINK^® com Axeda. A vulnerabilidade não está presente.

Portanto, o VILINK^® com Axeda não é afetado. 

Recomendações

1. Habilite o firewall. Para obter mais informações, consulte: https://docs.microsoft.com/en-us/windows/security/threat-protection/wind...

2. Consulte esta página periodicamente em busca de atualizações
 

 

(Atualização mais recente: 26 de janeiro de 2022)

Contexto/visão geral

A bioMérieux está ciente das vulnerabilidades no Apache Log4j e as está monitorando. Essas vulnerabilidades potencialmente permitem a execução de código remoto não autenticado. O Log4j é uma biblioteca de registro em log Java de código aberto desenvolvida pela Apache Foundation amplamente usada em muitos aplicativos e está presente, como uma dependência, em muitos serviços. A bioMérieux está investigando se algum produto, incluindo sua franquia BioFire, és afetado e atualizará este informe regularmente conforme mais informações ficarem disponíveis.

Informe

A bioMérieux avaliou os seguintes produtos ou recursos desenvolvidos ou distribuídos por si ou suas subsidiárias e determinou que eles não estão executando as versões afetadas do Log4j, divulgadas até a data deste Informe: 

• 3P^® Software 1.3.3
• APIWEB™ 1.4
• APIWEB™ Standalone
• ASTUTE™
• ATB™ China 2.2.1
• BACT/ALERT^® 3D
• BIOFIRE^® FILMARRAY 2.0
• BIOFIRE^® FILMARRAY TORCH 
• BIOFIRE^® SYNDROMIC TRENDS
• BIOMÉRIEUX EPISEQ^® 16S 1.0
• BIOMÉRIEUX EPISEQ^® CS 1.1
• BIOMÉRIEUX EPISEQ^® SARS-COV-2 1.0
• CLARION™ / AGILIST™
• COPAN Colibrí™
• COPAN C-Tracer
• COPAN WASP^®
• Corepoint Integration Engine
• D-COUNT^®
• easyMAG^® Win10
• EMAG^® SP2
• EVISIGHT^® COMPACT
• LABGUARD^®
• MINI VIDAS^®
• MYLA^® Lab Analytics CLOUD 1.2
• OBSERVA^®
• SCANRDI^®
• SecureLink
• TEMPO^® Routine 
• TEMPO^® Viewer 
• VIDAS^® 3 1.3 e inferiores
• VIDAS^® PC
• VIRTUO^® R2
• VITEK^® 2 8.x e inferiores 

Como parte de suas investigações contínuas, a bioMérieux está determinando se outros produtos ou recursos de produto da bioMérieux estão executando as versões afetadas do Log4j e testando possíveis ações de remediação, se houver. Qualquer ação de remediação para produtos ou recursos de produto da bioMérieux potencialmente expostos será disponibilizada aos clientes assim que possível.

Recomendações temporárias

1. Quando possível, isole os sistemas médicos em uma rede dedicada (LAN/VLAN)

a. Ao isolar os dispositivos, siga sua governança de TI local para garantir que a comunicação exigida seja adequadamente protegida 

2. Nunca exponha dispositivos médicos diretamente à Internet

“Como você pode melhorar a segurança de dispositivos da infraestrutura de rede?

A Cybersecurity and Infrastructure Security Agency (CISA) incentiva os usuários e administradores de rede a implementar as seguintes recomendações para proteger melhor a infraestrutura de rede:

• Segmente e agregue redes e funções.
• Limite as comunicações laterais desnecessárias.
• Reforce os dispositivos da rede.
• Proteja o acesso a dispositivos da infraestrutura.
• Realize gerenciamento de rede fora da faixa (OoB).
• Valide a integridade do hardware e do software.”

Fonte: https://www.cisa.gov/uscert/ncas/tips/ST18-001

Recursos gerais

1. Recomendações gerais para Proteger dispositivos de rede:

• https://www.cisa.gov/news-events/news/securing-network-infrastructure-devices
• https://www.iso.org/standard/57939.html
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/securing-netw...
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/securing-data...
• https://www.fda.gov/about-fda/cdrh-patient-science-and-engagement-progra...
• https://www.mitre.org/publications/technical-papers/medical-device-cyber...
• https://www.fda.gov/medical-devices/digital-health-center-excellence/cyb...

​2. Informações gerais em Log4j:

• https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance