Allo Docteur, je voudrais mettre à jour mon pacemaker

En effet la FDA (investie du même rôle que notre ANSM en France en ce qui concerne la sécurité des médicaments et des produits de santé) associée au constructeur Abbott (anciennement St Jude Medical) recommande dans un récent communiqué aux patients équipés d’un pacemaker, de bien vouloir se rapprocher de leur médecin afin de vérifier si leur stimulateur cardiaque est concerné et s’il est nécessaire d’appliquer la mise à jour de sécurité.
En effet, selon la FDA, 465 000 de ces dispositifs médicaux implantés dans la cage thoracique de patients américains seraient atteints de plusieurs vulnérabilités révélées dans une étude réalisée par la société Muddy Waters en août 2016.
Le fabricant avait corrigé ces vulnérabilités en janvier, mais il aura fallu attendre le 23 août pour que la FDA valide le nouveau firmware.

L’installation de ce nouveau firmware ne prendrait pas plus de trois minutes et pourrait se faire à l’aide d’un dispositif de communication sans fil, donc sans avoir à opérer le patient, même si certains problèmes ont une infime probabilité de se produire, comme un « plantage » de la mise à jour et un retour à la version précédente du micro logiciel, une perte des données de diagnostic, une perte des paramètres de l’appareil, ce qui pourrait avoir un impact sur l’état de santé du patient, tout comme son incapacité totale à fonctionner.
Il sera plus difficile de « rebooter » ou « re flasher » le patient en cas de problème…

L’ICS CERT aux Etats-Unis a lui aussi émis un avis sur le sujet exposant les vulnérabilités, leurs numéros de CVE, ainsi que les scores CVSS associés.
Alors, même si aucune attaque n’a été constatée pour le moment, voici les risques que présentent ces stimulateurs cardiaques :

- Le système d’authentification et d’horodatage peut être compromis ou contourné, de ce fait, un attaquant proche pourrait exécuter des commandes sur l’appareil.

- La commande de « réveil » pour la communication sans fil n’est pas limitée, il serait donc possible pour un attaquant proche de vider rapidement la batterie de l’appareil en exécutant consécutivement un grand nombre de commandes.

- Deux modèles stockent et transmettent des informations sans mécanisme de chiffrement et pourraient donc potentiellement laisser « fuiter » des informations médicales.

Même si l’exploitation de ces vulnérabilités n’est pas à la portée de tout le monde, les détails techniques de l’exploitation de ces vulnérabilités ne seront pas diffusés publiquement.
Si certains avait l’espoir qu’un exploit pour le framework Metasploit serait un jour disponible, ils peuvent oublier.