Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

GE Healthcare « patche » 20 dispositifs médicaux

19 mars 2018 - 10:02,
Tribune - Charles Blanc-Rolin
Le constructeur GE Healthcare annonce la mise à disposition d’importants correctifs de sécurité pour 20 dispositifs d’imagerie médicale sur 23 identifiés comme vulnérables, à la suite des travaux réalisés par le chercheur en sécurité Scott Erven. Cet expert en sécurité depuis près de 20 ans travaille depuis 2010 dans le domaine de la sécurité appliquée au monde de la santé et, ces dernières années, dans la recherche sur les dispositifs médicaux.

Reconnu dans le domaine de la cybersécurité pour ses travaux de recherche sur les vulnérabilités et l’exposition sur Internet des dispositifs médicaux, qu’il a eu l’occasion de présenter lors de conférences prestigieuses, telles que la Def Con(1) ou encore la RSA Conference, Scott Erven pointe du doigt une nouvelle fois les dangers que représente le fait que les mots de passe d’administration (root et autres admin…) soient codés en dur dans le système de ces appareils biomédicaux, et donc impossibles à modifier.

#MIEUXVAUTTARDQUEJAMAIS

GE aurait enfin décidé de se remettre en question et propose donc des correctifs, par le biais de nouveaux firmwares pour permettre la personnalisation des mots de passe « root » sur ces appareils. Seuls trois d’entre eux, apparemment peu répandus, ne seraient pas patchés sur une liste de 23 DM. Des dispositifs déployés partout dans le monde, et notamment dans nos établissements français, tels que des scanners, des consoles d’interprétation ou encore des serveurs PACS.

liste-produits

La majorité de ces vulnérabilités avait déjà été présentée par Scott Erven lors de la Def Con 23 à Las Vegas en 2015 ou encore lors de la Shakacon(2), toujours en 2015.

Il s’agit de mots de passe root tels que #bigguy(3), rendus publics et largement diffusés dans des dictionnaires de mots de passe, que l’on peut facilement retrouver sur des comptes GitHub notamment.

github-leaks

Ces vulnérabilités, facilement exploitables à distance, rappellent la nécessité de cloisonner ces appareils dans des réseaux dédiés, dans la mesure où, au-delà de la perte de disponibilité, d’intégrité ou de confidentialité des données, elles représentent un risque direct pour la vie du patient. Certains d’entre vous se rappelleront l’affaire des irradiés d’Épinal, par exemple…

Si vous disposez de DM présents dans liste des appareils concernés et que vous n’avez pas été contacté par le constructeur, je vous suggère de vous rapprocher de GE Healthcare afin de planifier un upgrade au plus vite. En attendant, vérifiez que vos DM ne sont pas placés dans un réseau un peu trop permissif, qu’ils ne sont pas accessibles depuis Internet et que personne n’y accède frauduleusement…

Pour plus d’informations, vous pouvez consulter le bulletin de l’ICS-CERT(4) ou vous rapprocher de GE.


(1) 

(2) 

(3) 

(4) 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration L’ARS Pays de la Loire dévoile sa feuille de route du numérique en santé 2025-2026 en Mayenne

L’ARS Pays de la Loire dévoile sa feuille de route du numérique en santé 2025-2026 en Mayenne

17 oct. 2025 - 10:18,

Actualité

- Rédaction, DSIH

L’Agence régionale de santé (ARS) Pays de la Loire, en partenariat avec la Caisse primaire d’assurance maladie (CPAM) de la Mayenne et le groupement e-santé régional, a présenté la feuille de route du numérique en santé 2025-2026.

Illustration Le CHU de Reims certifié ISO 27001 et HDS : un engagement fort pour la cybersécurité au service des patients

Le CHU de Reims certifié ISO 27001 et HDS : un engagement fort pour la cybersécurité au service des patients

13 oct. 2025 - 19:56,

Communiqué

- CHU de Reims

Le Centre hospitalier universitaire de Reims franchit une étape majeure dans sa stratégie de sécurisation des données de santé en obtenant la double certification ISO 27001 :2022 et Hébergeur de données en santé (HDS) V2. Ces certifications attestent de la conformité du CHU aux normes les plus exige...

Illustration Intelligence artificielle en santé : entre progrès technologique et éthique, où en est-on ?

Intelligence artificielle en santé : entre progrès technologique et éthique, où en est-on ?

13 oct. 2025 - 10:01,

Actualité

- Rédaction, DSIH

À l’occasion de la Fête de la science, l’Espace Mendès France de Poitiers a récemment accueilli une conférence passionnante consacrée à l’intelligence artificielle (IA) en santé. Intitulée « Intelligence artificielle en santé, entre progrès technologique et éthique : où en est-on ? », cette rencontr...

Illustration Fraudes à la e-CPS et à ProSantéConnect : l’alerte de l’ANS rappelle l’importance de la vigilance numérique

Fraudes à la e-CPS et à ProSantéConnect : l’alerte de l’ANS rappelle l’importance de la vigilance numérique

13 oct. 2025 - 09:46,

Actualité

- Rédaction, DSIH

L’Agence du Numérique en Santé (ANS) a récemment signalé plusieurs tentatives de fraude visant l’application e-CPS et le portail ProSantéConnect (PSC). Ces attaques, fondées sur des techniques d’ingénierie sociale, consistent à se faire passer pour le « service client CPS » afin d’obtenir des codes ...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.