Publicité en cours de chargement...
URGENT/11 : des dispositifs médicaux atteints par la fameuse pathologie et une solution pour identifier les malades
Pour rappel VxWork [2] est un système d’exploitation embarqué, édité par la société Wind River, propriété d’Intel depuis 2009, que l’on retrouve dans de nombreux appareils : contrôleurs électroménagers, téléphones IP, imprimantes, systèmes industriels, véhicules, dispositifs médicaux, pares-feu (oups !) et même des vaisseaux spatiaux.
Le hic, c’est que dans la plupart des cas, l’utilisateur final ne sait pas que le système embarqué de son dispositif, quel qu’il soit, s’appuie sur ce système propriétaire.
Il n’est donc pas aisé d’identifier les appareils vulnérables…
Après analyse sur les réseaux de ses clients la société Armis a révélé mardi 1eroctobre [3], que le panel de 11 vulnérabilités dont 6 sont critiques et permettraient à un attaquant d’exécuter du code arbitraire à distance sur « l’objet connecté », concerne également d’autres systèmes embarqués moins connus, s’appuyant eux aussi sur la pile réseau IPnet.
En réalité, les vulnérabilités reposent donc sur la pile réseau IPnet.
Les chercheurs ont notamment insisté sur les risques liés aux dispositifs médicaux en réalisant une vidéo de démonstration très pertinente [4]. Les chercheurs se sont attaqués à un moniteur patient : écran figé, vol d’informations patient, modification des constantes et déni de service sont au programme des réjouissances...
Wind River a corrigé au mois de juillet ces vulnérabilités présentes depuis 13 ans dans VxWorks avec la publication de la version 7 (les versions 6.5 à 6.9 sont vulnérables).
Maintenant combien de constructeurs ont appliqué ce correctif à leurs « boîtes noires » connectées ? Sûrement très peu à ce jour.
Pour les objets s’appuyant sur des systèmes tels que OSE, Nucleus RTOS, ThreadX, INTEGRITY ou encore ZebOS, là c'est le flou total !
Pour nous permettre d’y voir plus clair dans nos réseaux biomédicaux, la société Armis a publié un outil permettant détecter les appareils vulnérables [5].
Souriez, vous êtes hacké !
[1] https://www.armis.com/urgent11/
[2] https://fr.wikipedia.org/wiki/VxWorks
[3] https://www.armis.com/resources/iot-security-blog/urgent-11-update/
Voir également le bulletin du CERT-FR actualisé :
https://www.cert.ssi.gouv.fr/avis/CERTFR-2019-AVI-367/
Ainsi que le communiqué de la FDA :
Avez-vous apprécié ce contenu ?
A lire également.

Dernier billet philosohico-cyber avant la plage
21 juil. 2025 - 10:00,
Tribune
-À l’approche des congés d’été, l’heure est à la réflexion — et pas seulement sur la température de l’eau ou le bon dosage de crème solaire. Entre arnaques bancaires de plus en plus sophistiquées, dérives technologiques, illusions cyber-industrielles et lacunes dans la gouvernance publique, ce billet...

Données de santé et intelligence artificielle : la France lance sa stratégie nationale pour accélérer l’innovation en santé
07 juil. 2025 - 23:57,
Actualité
- DSIHLe ministre chargé de la Santé et de l’Accès aux soins, Yannick Neuder, a réuni ce 1er juillet un Comité stratégique exceptionnel pour présenter les premières étapes de la stratégie nationale sur l’intelligence artificielle (IA) et l’utilisation secondaire des données de santé. Objectif : structurer...

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS
01 juil. 2025 - 00:00,
Actualité
- DSIHLa 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...

Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !
30 juin 2025 - 20:50,
Communiqué
- APSSISL’APSSIS a le plaisir d’annoncer la publication du 8ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, ces guides se veulent à la fois accessibles, techniques et pratiques.