研究人员在用于传输液体药物的 Alaris GatewayWorkstations (AGW) 中发现了两个漏洞,其中一个为严重漏洞,可导致攻击者完全控制与其连接的医疗设备。

该设备的固件代码中存在一个严重评分为满分10分的缺陷,因此它可遭未经认证的远程利用。其它一个漏洞的严重程度较轻,影响该工作站的web管理接口。

AGW 是 Becton Dickinson 的一款产品,用于和输液泵通信并在输血、麻醉和透析等各种治疗过程中提供动力支持。这些泵确保患者在某段时间内连续或间歇地接收到推荐剂量的药物。多种类似设备可被连接到单个 AWG,向单个个体提供各种医疗药物。

攻击者能够更改药物注射率

CyberMDX 公司的研究人员发现,AGW 的固件可被远程替换为自定义版本的固件。和目标系统位于同一网络的攻击者能够“更新并操纵在压缩库中存储文件的 CAB 文件并使用正确格式的 Windows CE。”

具有这种访问权限,攻击者能够修改某些连接至 AWG 的输液泵型号开出的药物剂量,这种开具药物的方式在医院病房和重症监护室很常见。

虽然这个漏洞已遭利用,但攻击者仍然需要足够了解 Windows CE 环境以及通信协议如何在受影响产品中发挥作用。

研究人员将问题私下告知 Becton Dickinson,后者证实问题存在。两家公司携手共同修复该问题。研究人员建议采取如下措施降低攻击者利用该漏洞的风险:

  • 客户拦截 SMB 系诶一

  • 客户应当隔离其 VLAN 网络

  • 客户应确保只有有权限的员工才能访问客户网络

CyberMDX 发现的第二个漏洞是高危漏洞,评分为7.5分,存在于AWG的web 接口中。它的攻击复杂度较低,而且能够导致黑客访问设备监控、事件日志和设备配置。利用该漏洞只需目标 AWG 的 IP 地址,从而使得已经和目标位于同一网络的人能够轻易得手。

降低该风险的方法是安装最新的 AWG 固件版本,当前是1.3.2或1.6.1;网络隔离;并确保只有可信方能够访问网络。

原文链接

https://www.bleepingcomputer.com/news/security/critical-bug-in-infusion-system-allows-changing-drug-dose-in-medical-pumps/

声明:本文来自代码卫士,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。