惊:BD输液系统严重漏洞可改变医用泵的药物剂量

admin 2022年4月13日22:45:22安全新闻评论12 views1250字阅读4分10秒阅读模式

研究人员在Alaris Gateway工作站中发现了两个漏洞,用于提供流体药物。其中一个是关键的,攻击者可以利用它来完全控制连接它的医疗设备。

惊:BD输液系统严重漏洞可改变医用泵的药物剂量

设备固件代码中的缺陷已被分配了最高的严重性分数,一个完美的10分,因此可以远程利用它而无需身份验证。收到的另一个问题不那么严重,影响工作站的基于Web的管理界面。


Alaris Gateway工作站(AGW)是Becton Dickinson(BD)的产品,用于与输液泵进行通信,并在输血,麻醉以及化疗和透析等各种治疗过程中为其供电。


泵确保患者在一段时间内连续或间歇地接受推荐量的药物。多个这样的设备可以连接到单个AWG,以向单个个体提供各种医疗药物。


攻击者可以改变药物输注速度

CyberMDX的研究人员发现AGW的固件可以通过自定义版本远程替换。攻击者坐在同一个网络在目标系统上就能够“更新和操作CAB文件,存储在存档的库文件,并利用Windows CE的一个正确的格式,” 说,研究人员。


通过这种类型的访问,对手将能够改变连接到AWG的某些型号的输液泵所分配的药物的剂量,这在医院病房和重症监护室中是常见的。


虽然此漏洞(跟踪为CVE-2019-10959)易于利用,但攻击者仍需要了解Windows CE环境,以及通信协议如何在受影响的产品中发挥作用; 攻击者还需要知道如何修改CAB文件,AWG使用该文件将文件存储在存档库中,并使用适当的Windows CE格式。


Becton Dickinson代表告诉外媒,受影响的产品在美国没有使用或销售。他说安全研究人员报告这两个问题是“无法复制输液参数的操作,并且没有报告这个漏洞的漏洞利用“。


“由于该漏洞仅限于在美国尚未销售的单一BD输液系统(Alaris™网关工作站),因此重要的是要注意本公开内容不适用于大多数BD输液系统。”


CyberMDX私下向Becton Dickinson透露了他们的调查结果,Becton Dickinson证实了这一漏洞。两家公司共同努力解决问题。


研究人员建议采取以下措施来降低攻击者利用此漏洞的风险:


客户阻止SMB协议

客户应该隔离其VLAN网络

客户应确保只有合适的员工才能访问客户网络

CyberMDX发现的第二个漏洞被追踪为CVE-2019-10962  ,其严重程度得分为7.3。它位于AWG的基于Web的界面中,利用它可以让攻击者访问设备监视,事件日志和设备配置。


利用CVE-2019-10962只需要知道目标AWG的IP地址,这使得已经在网络上的人可以轻松完成任务。


ICS-CERT今天发布了针对这两个漏洞的咨询,包括缓解可能性。


建议用于降低风险的步骤是安装最新的AWG固件版本,目前为1.3.2(自2019年2月开始提供)或1.6.1(自2018年4月开始提供),网络隔离,并确保只有受信任方才能访问网络。


供应商发言人告诉我们,安装最新的固件版本可以纠正漏洞,“那些不更新固件的人,BD将在60天内提供软件补丁”。


原文始发于微信公众号(红数位):惊:BD输液系统严重漏洞可改变医用泵的药物剂量

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月13日22:45:22
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  惊:BD输液系统严重漏洞可改变医用泵的药物剂量 http://cn-sec.com/archives/636455.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: