輸液系統AGW漏洞安全通告
發布時間 2019-06-13漏洞編號和級別
CVE編號：暫無，危險級別：高危，CVSS分值：廠商自評：7.5，官方未評定
影響版本
受影響的版本
AWG 固件
漏洞概述
AGW（Alaris Gateway Workstations） 是 Becton Dickinson 的一款產品，用于和輸液泵通信并在輸血、麻醉和透析等各種治療過程中提供動力支持。這些泵確?；颊咴谀扯螘r間內連續或間歇地接收到推薦劑量的藥物。多種類似設備可被連接到單個AWG，向單個個體提供各種醫療藥物。
研究人員在用于傳輸液體藥物的AGW中發現了如下兩個漏洞：
AGW的固件可被遠程替換為自定義版本的固件。和目標系統位于同一網絡的攻擊者能夠“更新并操縱在壓縮庫中存儲文件的 CAB 文件并使用正確格式的 Windows CE?！本哂羞@種訪問權限，攻擊者能夠修改某些連接至 AWG 的輸液泵型號開出的藥物劑量，這種開具藥物的方式在醫院病房和重癥監護室很常見。
存在于AWG的web 接口中。它的攻擊復雜度較低，而且能夠導致黑客訪問設備監控、事件日志和設備配置。利用該漏洞只需目標 AWG 的 IP 地址，從而使得已經和目標位于同一網絡的人能夠輕易得手。
漏洞驗證
暫無POC/EXP。
修復建議
降低風險的方法是安裝最新的 AWG 固件版本，當前是1.3.2或1.6.1；網絡隔離；并確保只有可信方能夠訪問網絡。
參考鏈接
京公網安備11010802024551號