输液系统AGW误差清静通告

宣布时间 2019-06-13

误差编号和级别



CVE编号：暂无，，，，危险级别：严重，，，，CVSS分值：厂商自评：10，，，，官方未评定

CVE编号：暂无，，，，危险级别：高危，，，，CVSS分值：厂商自评：7.5，，，，官方未评定



影响版本



受影响的版本


AWG 固件



误差概述



AGW（Alaris Gateway Workstations） 是 Becton Dickinson 的一款产品，，，，用于和输液泵通讯并在输血、麻醉和透析等种种治疗历程中提供动力支持。。。。 。。。这些泵确�；；；；；颊咴谀扯问奔淠谝涣蚣湫匚盏酵萍黾亮康囊┪铩�。。。 。。。多种类似装备可被毗连到单个AWG，，，，向单个个体提供种种医疗药物。。。。 。。。


研究职员在用于传输液体药物的AGW中发明了如下两个误差：


误差一

AGW的固件可被远程替换为自界说版本的固件。。。。 。。。和目的系统位于统一网络的攻击者能够“更新并使用在压缩库中存储文件的 CAB 文件并使用准确名堂的 Windows CE。。。。 。。。”具有这种会见权限，，，，攻击者能够修改某些毗连至 AWG 的输液泵型号开出的药物剂量，，，，这种开具药物的方法在医院病房和重症监护室很常见。。。。 。。。


误差二

保存于AWG的web 接口中。。。。 。。。它的攻击重漂后较低，，，，并且能够导致黑客会见装备监控、事务日志和装备设置。。。。 。。。使用该误差只需目的 AWG 的 IP 地点，，，，从而使得已经和目的位于统一网络的人能够容易到手。。。。 。。。



误差验证



暂无POC/EXP。。。。 。。。



修复建议



降低危害的要领是装置最新的 AWG 固件版本，，，，目今是1.3.2或1.6.1；；；；；网络隔离；；；；；并确保只有可信方能够会见网络。。。。 。。。



参考链接



https://mp.weixin.qq.com/s/6GIQrqO9u1UyDdFOAz7VdA