CVE-2019-10959

Aplikacja zarządzająca procesem aktualizacji firmware nie weryfikuje ani nie filtruje przesyłanych plików, co odpowiada klasyfikacji CWE-434 (Unrestricted Upload of File with Dangerous Type). Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może przesłać dowolny złośliwy plik jako aktualizację firmware. Ze względu na brak jakichkolwiek mechanizmów kontroli integralności przesyłanych plików, złośliwy payload może zostać zainstalowany na urządzeniu.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, zagrażając poufności, integralności i dostępności systemu, co w przypadku sprzętu medycznego niesie bezpośrednie ryzyko dla bezpieczeństwa pacjentów.

Należy zaktualizować firmware BD Alaris Gateway Workstation do wersji 1.3.2 lub 1.6.1, które nie są podatne na opisaną lukę. Dla produktów Alaris GS, Alaris GH, Alaris CC i Alaris TIVA należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do interfejsu aktualizacji firmware wyłącznie do zaufanych hostów oraz monitorowanie wszelkich prób aktualizacji oprogramowania urządzeń medycznych.

BD Alaris Gateway Workstation Firmware w wersjach: 1.1.3 Build 10, 1.1.3 MR Build 11, 1.2 Build 15, 1.3.0 Build 14, 1.3.1 Build 13. Ponadto produkty Alaris GS, Alaris GH, Alaris CC, Alaris TIVA z oprogramowaniem w wersji 2.3.6 i niższej. Podatność nie dotyczy wersji firmware 1.3.2 i 1.6.1.

Podatność dotyczy sprzętu medycznego stosowanego w środowiskach klinicznych. Eksploatacja może stanowić bezpośrednie zagrożenie dla życia pacjentów. Advisory zostało opublikowane przez ICS-CERT (ICSMA-19-164-01) oraz producenta BD.