CVE-2020-25172

Podatność polega na nieprawidłowej walidacji ścieżek dostępu do plików — aplikacja nie sanityzuje sekwencji relatywnych ścieżek (np. '../'), co pozwala atakującemu wyjść poza dozwolony katalog. Nieautoryzowany użytkownik może skonstruować specjalnie spreparowane żądanie sieciowe, które wskazuje na dowolną lokalizację w systemie plików serwera. Dzięki temu możliwe jest zarówno pobieranie (odczyt) plików systemowych i konfiguracyjnych, jak i przesyłanie (zapis) złośliwych plików na serwer.

Atakujący bez żadnego uwierzytelnienia może pobrać wrażliwe pliki (np. dane pacjentów, konfiguracje, dane uwierzytelniające) lub przesłać na serwer złośliwe pliki, co może prowadzić do dalszego przejęcia kontroli nad systemem. W środowisku medycznym naruszenie integralności danych lub dostępności systemu może bezpośrednio wpłynąć na bezpieczeństwo pacjentów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe zalecenia zawarte są w poradniku ICS-CERT ICSMA-20-296-01 dostępnym pod adresem us-cert.cisa.gov. Dodatkowo zaleca się ograniczenie dostępu sieciowego do systemu OnlineSuite wyłącznie do zaufanych hostów oraz monitorowanie ruchu pod kątem podejrzanych żądań zawierających sekwencje path traversal.

B. Braun OnlineSuite w wersji AP 3.0 oraz wszystkich wcześniejszych wersjach.

Podatność dotyczy systemu stosowanego w środowisku medycznym (urządzenia i oprogramowanie B. Braun), co podnosi ryzyko operacyjne ze względu na potencjalny wpływ na dane pacjentów i ciągłość opieki medycznej. Szczegóły techniczne zostały opublikowane przez ICS-CERT w poradniku ICSMA-20-296-01.