JVNVU#99742251
GE Healthcare 製品に複数の脆弱性

GE Healthcare 社が提供する製品には複数の脆弱性が存在します。

• 3.0T Signa HDxt / 3.0T Signa HDx バージョン HD16 および HD23
• 1.5T Brivo MR355 / Optima MR360 バージョン SV20.1 および SV23.0
• 1.5T Signa HDx, 1.5T Signa HDx, Signa HDi, Signa VIBRANT バージョン HD16 および HD23
• LOGIQ 5 [BT03]
• LOGIQ 7 [BT03, BT04, BT06]
• LOGIQ 9 [BT02, BT03, BT04, BT06]
• Vivid I [BT06]
• Vivid 7 [BT02-BT06]
• EchoPAC (Turnkey) [BT06]
• Image Vault (Turnkey) [4.3]
• Voluson 730 [BT05, BT08]
• AWS 2.0 から AW 3.0  までのバージョン
• AW 4.0 から 4.6 までのバージョン

• Innova 2000, 3100, 4100, 2100-IQ, 3100-IQ, 4100-IQ, 212-IQ, 313-IQ
• Optima 320, CL320i, CL323i, CL320, 3100
• Optima IGS 320, 330
• Innova IGS 5x0, 6x0, 7x0
• AW 4.0 to AW 4.6, AWS2.0 to AW3.0
• Brivo XR118, XR383, XR515, XR575
• Definium 5000, 6000, 8000, AMX 700
• Discovery XR650, XR656, XR656+
• Optima XR640, XR646, XR220amx, XR200amx
• Precision 500D, WDR1
• Seno 200D, DS, Essential
• Senographe Pristina
• BrightSpeed Elite, Elite Select, Edge, Edge Select
• Brivo CT385
• Discovery CT590RT, CT750HD
• LightSpeed VCT, Pro16, RT16
• Optima Advance, CT520, CT540, CT660, CT580, CT580RT, CT580W, CT670, CT680 Quantum, Expert & Professional
• Revolution EVO,HD,ACT, ACTs, CT, Discovery CT, Frontier, Frontier ES
• Brivo NM 615
• Discovery NM 630, NM 750b, NM D530c, NM/CT D570c, NM/CT 670
• Discovery NM830, NM/CT 860, NM/CT850, NM/CT 870, MI MI DR, IQ
• Infinia
• Optima NM/CT 640
• Ventri
• Xeleris
• PET Discovery IQ, IQ upgrade
• PETrace 800

GE Healthcare 社が提供する製品には、次の複数の脆弱性が存在します。 

• 保護されていない認証情報の通信 (CWE-523) - CVE-2020-25175

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

• 機密性の高いシステム情報の公開 (CWE-497) - CVE-2020-25179

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 9.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、リモートサービス機能利用中のネットワークトラフィックが解析されることで、特定の認証情報を取得される - CVE-2020-25175
• 遠隔の第三者によって、初期設定のままの認証情報を利用して機密性の高い情報を窃取されたり、変更されたりする - CVE-2020-25179

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
また、機器ごとに回避策が提供されています。詳しくは開発者が提供する情報(要ログイン)を参照ください。

• 影響を受ける機器のパスワードを初期設定の状態から変更する
• ネットワーク接続を含む、すべての接続に対して、送信元 IP / 宛先 IP / ポートに基づくアクセスルールを明示的に作成する
  • TELNET、FTP、REXEC、SSH サービスなどが利用するポートに関するルール作成が推奨されています
•  病院/臨床ネットワークへの外部からの接続は、IPSecVPN と明示的なアクセスルールを利用して制御する