输液系统AGW缝隙安全公告

颁布功夫 2019-06-13

缝隙编号和级别



CVE编号：暂无，，， ，，，， ，危险级别：严沉，，， ，，，， ，CVSS分值：厂商自评：10，，， ，，，， ，官方未评定

CVE编号：暂无，，， ，，，， ，危险级别：高危，，， ，，，， ，CVSS分值：厂商自评：7.5，，， ，，，， ，官方未评定



影响版本



受影响的版本


AWG 固件



缝隙概述



AGW（Alaris Gateway Workstations） 是 Becton Dickinson 的一款产品，，， ，，，， ，用于和输液泵通讯并在输血、麻醉和透析等各类医治过程中提供动力支持。。。。。。。。这些泵确�；；；； ；颊咴谀扯喂Ψ蚰诼叫蚣湫亟庸艿酵萍黾亮康囊┪�。。。。。。。。多种类似设备可被衔接到单个AWG，，， ，，，， ，向单个个别提供各类医疗药物。。。。。。。。


钻研人员在用于传输液体药物的AGW中发现了如下两个缝隙：


缝隙一

AGW的固件可被远程代替为自界说版本的固件。。。。。。。。和指标系统位于统一网络的攻击者可能“更新并把持在压缩库中存储文件的 CAB 文件并使用正确体式的 Windows CE。。。。。。。。”拥有这种接见权限，，， ，，，， ，攻击者可能批改某些衔接至 AWG 的输液泵型号开出的药物剂量，，， ，，，， ，这种开具药物的方式在医院病房和沉症监护室很常见。。。。。。。。


缝隙二

存在于AWG的web 接口中。。。。。。。。它的攻击复杂度较低，，， ，，，， ，并且可能导致黑客接见设备监控、事务日志和设备配置。。。。。。。。利用该缝隙只需指标 AWG 的 IP 地址，，， ，，，， ，从而使得已经和指标位于统一网络的人可能等闲得手。。。。。。。。



缝隙验证



暂无POC/EXP。。。。。。。。



建复建议



降低风险的步骤是装置最新的 AWG 固件版本，，， ，，，， ，当前是1.3.2或1.6.1；；；； ；网络隔离；；；； ；并确保只有可信方可能接见网络。。。。。。。。



参考链接



https://mp.weixin.qq.com/s/6GIQrqO9u1UyDdFOAz7VdA