La fiducia tra app e monitor si rompe via Bluetooth
Il punto debole non è l’app in sé, ma il legame che fa fidare il monitor del dispositivo vicino. In questa coppia di prodotti, un attaccante entro portata BLE può arrivare al monitor direttamente, rilegare l’account a sé, leggere misurazioni salvate o mandare in crisi il flusso di monitoraggio, con impatto sui profili salute e non solo sulla stabilità del software.
CISA segnala otto CVE in Mira Hormone Monitor firmware 1.7.1.47 e Mira Android App 4.5.15.4. Tra gli effetti descritti ci sono esposizione in chiaro dei dati ormonali, disclosure di session token, account takeover e denial-of-service; una falla permette anche di far riavviare il dispositivo in bootloader con un comando BLE non autenticato. Le versioni corrette citate dall’advisory sono Mira app 4.5.18 su Android e firmware 01.07.01.53 distribuito tramite app.
Per cliniche e ambienti che supportano questi dispositivi, il punto è che il rischio vive su due livelli insieme: account e hardware. Anche se l’app sembra normale, un problema nel firmware può alterare o esporre record sensibili e rompere la continuità del monitoraggio.