CVE-2024-48967
CriticalSummary
Wentylator oraz komputer serwisowy nie posiadają wystarczających możliwości rejestrowania zdarzeń, co uniemożliwia wykrywanie złośliwej aktywności oraz późniejsze badania kryminalistyczne. Atakujący z dostępem do wentylatora lub komputera serwisowego może wprowadzać nieautoryzowane zmiany w ustawieniach wentylatora bez wykrycia.
Risk Assessment
Brak odpowiedniego rejestrowania zdarzeń stwarza ryzyko nieautoryzowanego ujawnienia informacji oraz negatywnego wpływu na wydajność urządzenia, co może zagrażać bezpieczeństwu pacjentów.
Recommendation
Zaleca się wdrożenie systemu audytu logów, aby umożliwić wykrywanie nieautoryzowanych zmian oraz zapewnić możliwość przeprowadzenia analizy kryminalistycznej w przypadku incydentów.
Original NVD description (English source)
The ventilator and the Service PC lack sufficient audit logging capabilities to allow for detection of malicious activity and subsequent forensic examination. An attacker with access to the ventilator and/or the Service PC could, without detection, make unauthorized changes to ventilator settings that result in unauthorized disclosure of information and/or have unintended impacts on device performance.