CVE-2024-48973criticalCWE-1263

CVE-2024-48973: falha crítica em Baxter Life2000 Ventilation System

Debug port on Life2000 Ventilator serial interface is enabled by default

Publicada em · Atualizada em

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.3epss 0.2%
probabilidade de exploração
0.2%top 88% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

Um ventilador deixa uma porta de depuração ativada por padrão na sua interface serial, permitindo que qualquer pessoa com acesso físico envie comandos não criptografados para ler informações sensíveis ou alterar configurações críticas do dispositivo.

Detalhe técnico

O Ventilador Life2000 expõe uma porta serial de depuração sem autenticação e sem criptografia, possibilitando que invasores com acesso local enviem mensagens arbitrárias que resultam em divulgação de informações e modificação não autorizada de configurações e parâmetros operacionais do dispositivo. A exploração requer acesso físico ou lógico à interface serial.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The debug port on the ventilator's serial interface is enabled by default. This could allow an attacker to send and receive messages over the debug port (which are unencrypted; see 3.2.1) that result in unauthorized disclosure of information and/or have unintended impacts on device settings and performance.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
Baxter · Life2000 Ventilation System
CVEs relacionadas — Baxter Life2000 Ventilation System

No mesmo produto, das mais perigosas para as menos.

CVE-2024-48966CRITICALLife2000 service tools for test and calibration do not support user authenticationEPSS 0.7%CVE-2024-48967CRITICALLife2000 ventilator and Service PC lack sufficient audit logging capabilitiesEPSS 0.6%CVE-2024-48971CRITICALClinician Password and Serial Number Clinician Password are hard-coded in Life2000 VentilatorEPSS 0.2%CVE-2024-48970CRITICALLife2000 Ventilator microcontroller lacks memory protectionEPSS 0.2%CVE-2024-9832CRITICALNo limit on failed login attempts with Clinician Password or Serial Number Clinician Password on Life2000 VentilatorEPSS 0.2%CVE-2024-48974CRITICALLife2000 Ventilator does not perform proper file integrity checks when adopting firmware updatesEPSS 0.2%
Referências
https://www.cisa.gov/news-events/ics-medical-advisories/icsma-24-319-01