输液系统AGW缝隙安全公告
颁布功夫 2019-06-13缝隙编号和级别
CVE编号：暂无 ，危险级别：高危 ，CVSS分值：厂商自评：7.5 ，官方未评定
影响版本
受影响的版本
AWG 固件
缝隙概述
AGW（Alaris Gateway Workstations） 是 Becton Dickinson 的一款产品 ，用于和输液泵通讯并在输血、麻醉和透析等各类医治过程中提供动力支持 。这些泵确�；颊咴谀扯喂Ψ蚰诼叫蚣湫亟庸艿酵萍黾亮康囊┪� 。多种类似设备可被衔接到单个AWG ，向单个个别提供各类医疗药物 。
钻研人员在用于传输液体药物的AGW中发现了如下两个缝隙：
AGW的固件可被远程代替为自界说版本的固件 。和指标系统位于统一网络的攻击者可能“更新并把持在压缩库中存储文件的 CAB 文件并使用正确体式的 Windows CE 。”拥有这种接见权限 ，攻击者可能批改某些衔接至 AWG 的输液泵型号开出的药物剂量 ，这种开具药物的方式在医院病房和沉症监护室很常见 。
存在于AWG的web 接口中 。它的攻击复杂度较低 ，并且可能导致黑客接见设备监控、事务日志和设备配置 。利用该缝隙只需指标 AWG 的 IP 地址 ，从而使得已经和指标位于统一网络的人可能等闲得手 。
缝隙验证
暂无POC/EXP 。
建复建议
降低风险的步骤是装置最新的 AWG 固件版本 ，当前是1.3.2或1.6.1；网络隔离；并确保只有可信方可能接见网络 。
参考链接
京公网安备11010802024551号