CVE-2022-1518

Podatność polega na braku odpowiedniej weryfikacji ścieżki podczas operacji przesyłania plików w aplikacji LRM. Atakujący może spreparować żądanie zawierające sekwencje path traversal (np. '../'), aby zapisać plik w dowolnym miejscu systemu plików, wykraczając poza dozwolony katalog. Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych uprawnień, a jego zakres wykracza poza komponent podatny (Scope: Changed).

Atakujący może zapisać złośliwe pliki w dowolnej lokalizacji systemu, co w praktyce może prowadzić do wykonania nieautoryzowanego kodu, modyfikacji konfiguracji urządzenia lub naruszenia poufności, integralności i dostępności systemu w najwyższym stopniu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach naprawczych zawiera poradnik CISA pod adresem: https://www.cisa.gov/uscert/ics/advisories/icsa-22-153-02. Ze względu na medyczny charakter urządzeń zaleca się priorytetowe wdrożenie aktualizacji oraz izolację sieciową sekwenatorów od sieci ogólnodostępnych.

Illumina Local Run Manager (LRM) działający na urządzeniach: Illumina iSeq 100, Illumina MiniSeq, Illumina MiSeq, Illumina MiSeq Dx — wersje wskazane w referencjach producenta (poradnik CISA ICSA-22-153-02).

Podatność dotyczy urządzeń medycznych stosowanych w diagnostyce genomicznej. Poradnik bezpieczeństwa został wydany przez CISA w ramach serii ICS-CERT (ICSA-22-153-02), co wskazuje na szczególne znaczenie podatności w środowiskach infrastruktury krytycznej i ochrony zdrowia.