Publicité en cours de chargement...
GE Healthcare « patche » 20 dispositifs médicaux
Reconnu dans le domaine de la cybersécurité pour ses travaux de recherche sur les vulnérabilités et l’exposition sur Internet des dispositifs médicaux, qu’il a eu l’occasion de présenter lors de conférences prestigieuses, telles que la Def Con(1) ou encore la RSA Conference, Scott Erven pointe du doigt une nouvelle fois les dangers que représente le fait que les mots de passe d’administration (root et autres admin…) soient codés en dur dans le système de ces appareils biomédicaux, et donc impossibles à modifier.
#MIEUXVAUTTARDQUEJAMAIS
GE aurait enfin décidé de se remettre en question et propose donc des correctifs, par le biais de nouveaux firmwares pour permettre la personnalisation des mots de passe « root » sur ces appareils. Seuls trois d’entre eux, apparemment peu répandus, ne seraient pas patchés sur une liste de 23 DM. Des dispositifs déployés partout dans le monde, et notamment dans nos établissements français, tels que des scanners, des consoles d’interprétation ou encore des serveurs PACS.
La majorité de ces vulnérabilités avait déjà été présentée par Scott Erven lors de la Def Con 23 à Las Vegas en 2015 ou encore lors de la Shakacon(2), toujours en 2015.
Il s’agit de mots de passe root tels que #bigguy(3), rendus publics et largement diffusés dans des dictionnaires de mots de passe, que l’on peut facilement retrouver sur des comptes GitHub notamment.
Ces vulnérabilités, facilement exploitables à distance, rappellent la nécessité de cloisonner ces appareils dans des réseaux dédiés, dans la mesure où, au-delà de la perte de disponibilité, d’intégrité ou de confidentialité des données, elles représentent un risque direct pour la vie du patient. Certains d’entre vous se rappelleront l’affaire des irradiés d’Épinal, par exemple…
Si vous disposez de DM présents dans liste des appareils concernés et que vous n’avez pas été contacté par le constructeur, je vous suggère de vous rapprocher de GE Healthcare afin de planifier un upgrade au plus vite. En attendant, vérifiez que vos DM ne sont pas placés dans un réseau un peu trop permissif, qu’ils ne sont pas accessibles depuis Internet et que personne n’y accède frauduleusement…
Pour plus d’informations, vous pouvez consulter le bulletin de l’ICS-CERT(4) ou vous rapprocher de GE.
(1)
(2)
(3)
(4)
Avez-vous apprécié ce contenu ?
A lire également.

Le consortium AGORiA Santé en partenariat avec BIOGROUP obtient la 1ère autorisation de la CNIL permettant d’associer des données de biologie et du SNDS (système national des données de santé)
22 juil. 2025 - 10:23,
Communiqué
- Biogroup & Agoria Santéle 21 juillet 2025 – Le consortium AGORiA Santé est autorisé par la CNIL (Commission nationale de l'informatique et des libertés) à enrichir sa plateforme, entrepôt de données de santé système fils SNDS, avec des données d’analyses de biologie médicales issues du réseau BIOGROUP. Créé en 2021, le co...

Un code de bonnes pratiques pour les modèles d'IA à usage général
15 juil. 2025 - 16:57,
Actualité
-Entré en vigueur le 1er août 2024, le Règlement sur l'Intelligence Artificielle (AI Act) vise à créer un cadre juridique uniforme pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d'IA dans le respect des valeurs de l’Union. Parmi les systèmes d'IA encadré...

Le numérique médico-social : mutation systémique et levier d’humanité
08 juil. 2025 - 01:07,
Actualité
- DSIHLongtemps resté en périphérie des politiques publiques du numérique en santé, le secteur médico-social entre aujourd’hui dans une phase de transformation profonde. C’est cette bascule, inédite et structurante, que décrivent Olivier Babinet et Manon Lorenzo dans leur ouvrage Le virage du numérique en...

Mobisoins Patient : quand soignants et éditeur innovent ensemble au service du patient
08 juil. 2025 - 00:49,
Actualité
- Maellie Vezien, DSIHÀ l’heure où les soins hospitaliers se déploient de plus en plus à domicile, l’implication du patient dans son parcours de santé devient essentielle. Mais comment favoriser son autonomie tout en garantissant une prise en charge sécurisée ? C’est le défi que relèvent l’HAD Vendée et Dicsit Informatiq...