NMIS/BioDose è una piattaforma software specializzata utilizzata in ambienti medici e clinici per il tracciamento della medicina nucleare e la biodosimetria. Data la sua applicazione nel settore sanitario, il sistema probabilmente elabora e memorizza Informazioni Sanitarie Protette (PHI) altamente sensibili, rendendolo un componente critico delle operazioni cliniche e un obiettivo di alto valore per gli aggressori.

La compromissione di questo sistema rappresenta un rischio aziendale significativo. La vulnerabilità consente a un attaccante con accesso ai file binari dell’applicazione di estrarre credenziali codificate, potenzialmente ottenendo accesso con privilegi amministrativi all’applicazione e al suo database backend. Ciò potrebbe portare a una grave violazione dei dati, violando i requisiti normativi come HIPAA e comportando sanzioni finanziarie significative e danni reputazionali.

La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha emesso un avviso riguardo questa vulnerabilità, sottolineandone il rischio per le infrastrutture critiche. Sebbene non ci siano segnalazioni pubbliche di sfruttamento attivo, è disponibile un exploit pubblico, il che aumenta la probabilità di attacchi opportunistici o mirati. Il rischio principale riguarda gli ambienti in cui individui non autorizzati possono accedere ai file di installazione dell’applicazione sul file system del server.

Riassunto tecnico

La causa principale di questa vulnerabilità è la pratica di memorizzare credenziali statiche direttamente nei file binari compilati dell’applicazione, classificata come CWE-798: Uso di Credenziali Codificate. Queste credenziali, come stringhe di connessione al database o password amministrative, sono archiviate in testo semplice o in un formato facilmente reversibile, consentendo una facile estrazione da parte di un attaccante con accesso ai file eseguibili.

Un attaccante può sfruttare questa vulnerabilità seguendo i seguenti passaggi:

1. Un attaccante ottiene innanzitutto l’accesso ai file binari dell’applicazione NMIS/BioDose, tramite la compromissione di un sistema separato o ottenendo l’installer del software.
2. Utilizzando strumenti standard di analisi dei binari (es. strings, Ghidra, IDA Pro), l’attaccante ispeziona i file eseguibili alla ricerca di sequenze di caratteri statiche che sembrano essere credenziali.
3. Una volta estratte le credenziali, l’attaccante può utilizzarle per autenticarsi direttamente al database dell’applicazione o alle interfacce amministrative.
4. Ciò garantisce all’attaccante gli stessi privilegi dell’account codificato, che può includere pieno accesso in lettura, scrittura e cancellazione dei dati sensibili dei pazienti e delle configurazioni di sistema.

// Conceptual example of a hard-coded credential anti-pattern
// DO NOT USE THIS CODE
public class DatabaseManager
{
    public IDbConnection CreateConnection()
    {
        // VULNERABILITY: Credentials are hard-coded in the source code.
        // An attacker can discover this string by analyzing the compiled binary.
        string dbConnectionString = "Server=prod_db;Database=BioDose;User Id=biodose_admin;Password=HardCodedP@ssw0rd!;";
        var connection = new SqlConnection(dbConnectionString);
        connection.Open();
        return connection;
    }
}

Versioni interessate: NMIS/BioDose V22.02 e tutte le versioni precedenti sono vulnerabili.
Disponibilità della correzione: È disponibile una correzione. Gli utenti devono consultare la documentazione del fornitore per la versione specifica corretta.

Raccomandazioni

• Applicare la patch immediatamente: Aggiornare NMIS/BioDose a una versione successiva alla V22.02. Consultare gli avvisi del fornitore (Mirion Medical) per i dettagli della versione corretta e le istruzioni di installazione.
• Mitigazioni e Rinforzi:
  • Implementare permessi rigorosi sul file system (ACL) nella directory di installazione dell’applicazione per garantire che solo gli account amministrativi autorizzati abbiano accesso in lettura ai binari.
  • Se consentito dalla configurazione dell’applicazione, cambiare immediatamente qualsiasi password predefinita o codificata. Se ciò non è possibile, trattare le credenziali come compromesse e implementare un monitoraggio avanzato.
• Ricerca e Monitoraggio:
  • Verificare tutti i log di autenticazione per l’applicazione NMIS/BioDose e il suo database backend. Indagare su eventuali accessi riusciti da indirizzi IP insoliti, località geografiche anomale o attività in orari inusuali.
  • Monitorare eventuali segnali di esfiltrazione massiva di dati dal database dell’applicazione, inclusi pattern di traffico di rete anomali.
  • Cercare copie non autorizzate dei binari dell’applicazione su altri sistemi all’interno dell’ambiente.
• Risposta agli Incidenti:
  • Se si sospetta una compromissione, isolare immediatamente l’host su cui gira il software e il relativo database dalla rete per prevenire movimenti laterali.
  • Se le credenziali sono state compromesse, ruotarle immediatamente se possibile.
  • Avviare un’indagine forense per determinare l’entità della violazione dei dati, con particolare attenzione alla possibile esposizione di Informazioni Sanitarie Protette (PHI) al fine di stabilire eventuali obblighi di segnalazione normativa.
• Difesa in profondità:
  • Applicare la segmentazione di rete per limitare l’accesso al server del database esclusivamente al server applicativo.
  • Applicare il principio del privilegio minimo a tutti gli account e servizi associati all’applicazione NMIS/BioDose.
  • Assicurarsi che siano attive procedure di backup e ripristino dei dati complete e testate.