Уязвимости позволяют злоумышленникам контролировать насосы доставки лекарств

Alaris Gateway Workstation (AWG) - это система, которая соединяет насос для доставки лекарств с системами управления данными пациента и работает с Windows CE. Однако они были найдены две уязвимости, которые могут позволить хакерам выключить устройство, установить вредоносное программное обеспечение, сообщить о ложном информация, но и делать более опасные вещи, такие как управление насосами и изменение доз лекарств.

Alaris Gateway Workstation

Рабочие станции Alaris Gateway были созданы американской компанией по производству медицинских устройств Becton, Dickinson and Company (BD) и использовались в больницах и клиниках стран 50 в Европа и азия.

СРГ помогают улучшить работу инъекционных насосов, используемых в широком спектре процедур: доставка лекарств, переливание крови, химиотерапия, гемодиализ, анестезия,

уязвимости

Уязвимости были обнаружены исследователем из CyberMDX Эладом Лузом, который предлагает решения в области безопасности для поставщиков медицинских услуг.

Одна уязвимость, CVE-2019-10959 находится в прошивке рабочей станции. Уязвимость дает это злоумышленник может скачать злонамеренный архив, во время обновления прошивки.

Чтобы хакер смог воспользоваться этой уязвимостью, он должен сначала получить доступ к сети больницы, хорошо знать продукт и уметь обновлять и обрабатывать CAB-файл, который хранит файлы в заархивированной библиотеке.

Если все это произойдет, то злоумышленник сможет использовать уязвимость и воздействовать на насосы.

Кроме того, чтобы использовать уязвимость, злоумышленник должен создать исполняемый файл с настраиваемым кодом, который может выполняться в среде Windows CE, и создать специальный установщик для файла CAB с необходимыми параметрами для запуска. программа.

Злоумышленник также может проникнуть на компьютер, установить вредоносную программу, которая будет служить базой для сетевой атаки, и передать ложную информацию от насосов.

"Из-за простоты атаки, возможности удаленной атаки и значительных последствий уязвимость прошивки по степени серьезности он получил 10/10 баллов », - отмечает CyberMDX.

Вторая уязвимость, CVE-2019-10962, затрагивает веб-консоль рабочей станции, которая не требует учетных данных для получения доступа.

Это означает, что Любой, кто знает IP-адрес рабочей станции, может следить за насосами, получать доступ к журналам событий и руководству пользователя. Он также может вносить изменения в конфигурацию сети (IP / подсеть / WiFi / LAN).

И в этом случае злоумышленник должен сначала получить доступ к сети больницы.

Эта уязвимость напрямую не влияет на работу инфузионного насоса, так как это онлайн-приложение, предназначенное для сбора данных.

Нарушенные публикации и ограничение риска

Уязвимость CVE-2019-10959 затрагивает AWG, использующие следующие версии прошивки: 1.1.3, сборка 10, 1.1.3 MR, сборка 11, 1.2, сборка 15, 1.3.0, сборка 14 и 1.3.1, сборка 13.

Его также можно найти в старых продуктах BD с версией программного обеспечения 2.3.6.

BD сообщает администраторам, чтобы они обновляли микропрограммы до версий 1.3.2 или 1.6.1, блокировали SMB и гарантировали, что только их партнеры имеют доступ к сети.

Η уязвимость CVE-2019-10962 влияет на AWG, используя версии прошивки 1.0.13, 1.1.3 Build 10, 1.1.3 MR Build 11, 1.1.5 и 1.1.6.

BD рекомендует администраторам обновить микропрограмму до версий 1.3.2 или 1.6.1, чтобы изолировать свою сеть от ненадежных систем и разрешить доступ только соответствующим партнерам.