
Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) dan Food and Drug Administration (FDA) telah mengeluarkan peringatan tentang keberadaan fungsionalitas tersembunyi dalam monitor pasien Contec CMS8000 dan monitor pasien MN-120 EPSIMED.
Kerentanan, dilacak sebagai CVE-2025-0626membawa skor CVSS V4 7,7 pada skala 10,0. Kelemahan itu, di samping dua masalah lainnya, dilaporkan ke CISA oleh peneliti eksternal anonim.
“Produk yang terpengaruh mengirimkan permintaan akses jarak jauh ke alamat IP yang dikodekan dengan keras, melewati pengaturan jaringan perangkat yang ada untuk melakukannya,” kata Cisa dalam penasihat. “Ini bisa berfungsi sebagai pintu belakang dan menyebabkan aktor jahat dapat mengunggah dan menimpa file pada perangkat.”

“Reverse Backdoor menyediakan konektivitas otomatis ke alamat IP kode keras dari perangkat Contec CMS8000, yang memungkinkan perangkat untuk mengunduh dan menjalankan file jarak jauh yang tidak diverifikasi. Catatan yang tersedia untuk umum menunjukkan bahwa alamat IP tidak terkait dengan produsen perangkat medis atau fasilitas medis atau fasilitas medis atau fasilitas medis atau fasilitas medis. Tapi universitas pihak ketiga. “
Dua kerentanan teridentifikasi lainnya di perangkat tercantum di bawah ini –
- CVE-2024-12248 (Skor CVSS V4: 9.3)-Kerentanan menulis yang tidak terikat yang dapat memungkinkan penyerang mengirim permintaan UDP yang diformat khusus untuk menulis data yang sewenang-wenang, menghasilkan eksekusi kode jarak jauh
- CVE-2025-0683 (Skor CVSS V4: 8.2)-Kerentanan kebocoran privasi yang menyebabkan data pasien teks polos ditransmisikan ke alamat IP publik yang dikodekan dengan keras ketika pasien melekat pada monitor
Eksploitasi CVE-2025-0683 yang berhasil dapat memungkinkan perangkat dengan alamat IP yang tidak ditentukan untuk mendapatkan akses ke informasi pasien rahasia atau membuka pintu ke skenario musuh di tengah-tengah (AITM).
Lubang keamanan mempengaruhi produk berikut –
- CMS8000 Monitor Pasien: Versi Firmware Smart3250-2.6.27-WLAN2.1.7.CRAMFS
- CMS8000 Monitor Pasien: Versi Firmware CMS7.820.075.08/0,74 (0,75)
- CMS8000 Monitor Pasien: Versi Firmware CMS7.820.120.01/0.93 (0,95)
- CMS8000 Monitor Pasien: Semua Versi (CVE-2025-0626 dan CVE-2025-0683)

“Kerentanan keamanan siber ini dapat memungkinkan para aktor yang tidak berwenang untuk memotong kontrol keamanan siber, mendapatkan akses ke dan berpotensi memanipulasi perangkat,” kata FDA, menambahkannya “tidak mengetahui adanya insiden keamanan siber, cedera, atau kematian yang terkait dengan kerentanan keamanan siber ini pada waktu ini. “
Mengingat bahwa kerentanan ini masih belum ditandingi, CISA merekomendasikan agar organisasi mencabut dan menghapus perangkat Contec CMS8000 dari jaringan mereka. Perlu dicatat bahwa perangkat juga diberi label ulang dan dijual dengan nama Epsimed MN-120.
Ini juga disarankan untuk memeriksa monitor pasien untuk tanda -tanda fungsi yang tidak biasa, seperti “ketidakkonsistenan antara vital pasien yang ditampilkan dan keadaan fisik aktual pasien.”
Monitor Pasien CMS8000 diproduksi oleh Contec Medical Systems, pengembang perangkat medis yang berlokasi di Qinhuangdao, Cina. Di situs webnya, perusahaan mengklaim produknya disetujui FDA dan didistribusikan ke lebih dari 130 negara dan wilayah.