КиберосноваSGRC
BDU:2021-01651
Высокий

BDU:2021-01651: Уязвимость медицинского диагностического оборудования GE Healthcare, связанная с отсутствием защиты служебных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации или повысить свои привилегии

CVSS v39.8
CVSS v27.5
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2021-01651

Описание

Уязвимость медицинского диагностического оборудования GE Healthcare связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации или повысить свои привилегии

Что делать с BDU:2021-01651

Высокая уязвимость (CVSS 9.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
7.5
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CWE-200
CWE-497

CVE — международный идентификатор

CVE-2020-25179
CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (122)

ВендорНазваниеВерсияПлатформа
GE HealthcareBrivo XR515-Не указана
GE HealthcareBrivo XR575-Не указана
GE HealthcareDefinium 5000-Не указана
GE HealthcareDefinium 6000-Не указана
GE HealthcareDefinium 8000-Не указана
GE HealthcareDefinium AMX 700-Не указана
GE HealthcareDiscovery XR650-Не указана
GE HealthcareDiscovery XR656-Не указана
GE HealthcareDiscovery XR656+-Не указана
GE HealthcareOptima XR640-Не указана
GE HealthcareOptima XR646-Не указана
GE HealthcareOptima XR220amx-Не указана
GE HealthcareOptima XR200amx-Не указана
GE HealthcarePrecision 500D-Не указана
GE HealthcarePrecision WDR1-Не указана
GE HealthcareSeno 200D-Не указана
GE HealthcareSeno DS-Не указана
GE HealthcareSeno Essential-Не указана
GE HealthcareOptima 3100-Не указана
GE HealthcareOptima IGS 320-Не указана
GE HealthcareOptima IGS 330-Не указана
GE HealthcareInnova IGS 5x0-Не указана
GE HealthcareInnova IGS 6x0-Не указана
GE HealthcareInnova IGS 7x0-Не указана
GE HealthcareBrivo XR118-Не указана
GE HealthcareBrivo XR383-Не указана
GE HealthcareSigna HDxt 3.0THD 16Не указана
GE HealthcareSigna HDxt 3.0THD 23Не указана
GE HealthcareSigna HDx 3.0THD 16Не указана
GE HealthcareSigna HDx 3.0THD 23Не указана
GE HealthcareBrivo MR355 1.5TSV20.1Не указана
GE HealthcareBrivo MR355 1.5TSV23.0Не указана
GE HealthcareOptima MR360SV20.1Не указана
GE HealthcareOptima MR360SV23.0Не указана
GE HealthcareSigna HDx 1.5THD 16Не указана
GE HealthcareSigna HDx 1.5THD 23Не указана
GE HealthcareSigna HDiHD 16Не указана
GE HealthcareSigna HDiHD 23Не указана
GE HealthcareSigna VIBRANTHD 16Не указана
GE HealthcareSigna VIBRANTHD 23Не указана
GE HealthcareLOGIQ 5BT03Не указана
GE HealthcareLOGIQ 7BT03Не указана
GE HealthcareLOGIQ 7BT04Не указана
GE HealthcareLOGIQ 7BT06Не указана
GE HealthcareLOGIQ 9BT02Не указана
GE HealthcareLOGIQ 9BT03Не указана
GE HealthcareLOGIQ 9BT04Не указана
GE HealthcareLOGIQ 9BT06Не указана
GE HealthcareVivid IBT06Не указана
GE HealthcareVivid 7от BT02 до BT06 включительноНе указана

Показано 50 из 122

Рекомендации по устранению

Использование рекомендаций: https://us-cert.cisa.gov/ics/advisories/icsma-20-343-01

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации1.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2020-12-08

Опубликована

2021-03-30

Обновлена

2021-03-30

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2020-25179 MITRE: CWE-200 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК
Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0