In de Siemens Nucleus NET stack, een veelgebruikt besturingssysteem voor medische apparatuur, zijn ernstige kwetsbaarheden aangetroffen. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt hiervoor. De kans om slachtoffer te worden is groot, net als die op schade, aldus het beveiligingsadvies.
Aanvallers met netwerktoegang kunnen langs deze weg malafide code invoeren of een dos (denial-of-service) veroorzaken. Ook is het mogelijk toegang te krijgen tot gevoelige gegevens of systeemgegevens.
Onderzoekers van Forescout hebben dertien kwetsbaarheden gevonden in de Nucleus TCP/IP stack. Dit is een netwerkstack die door zowel Siemens-producten als producten van andere leveranciers wordt gebruikt. Nucleus zit vooral in medische apparatuur, zoals machines voor anesthesie en patiëntenmonitoren.
De kwetsbaarheden, die de naam Nucleus:13 hebben gekregen, zijn in diverse componenten gevonden. Genoemd worden TCP/IP, UDP, ICMP, FTP en TFTP-servers alsmede DHCP. De impact van de kwetsbaarheden kan verschillen per product dat gebruik maakt van Nucleus. Siemens heeft als ontwikkelaar van Nucleus updates beschikbaar gesteld om de problemen te verhelpen in Nucleus 4 en Nucleus Ready Start (Nucleus 3).
Nucleus NET is de TCP/IP stack van het Nucleus Real-time Operating System (RTOS). Dit systeem is in 1993 ontwikkeld door Accelerated Technology, een bedrijf dat in 2002 werd gekocht door Mentor Graphics en in 2017 bij Siemens belandde. Meer dan drie miljard apparaten draaien op RTOS.
