Medical Devices Authentication Hardcoded Credential xác thực yếu
| CVSS Điểm tạm thời meta | Giá khai thác hiện tại (≈) | Điểm quan tâm CTI |
|---|---|---|
| 9.0 | $0-$5k | 0.00 |
Tóm tắt
Một điểm dễ bị tấn công được phân loại là nghiêm trọng đã được tìm thấy trong Medical Devices. Đối tượng bị ảnh hưởng là một chức năng không xác định thuộc thành phần Xác thực. Việc thao tác trong khuôn khổ Hardcoded Credential xác thực yếu. Thêm vào đó, đã tồn tại mã khai thác. Bối cảnh và cách thức đón nhận khiến lỗ hổng này mang tính lịch sử.
Chi tiết
Một điểm dễ bị tấn công được phân loại là nghiêm trọng đã được tìm thấy trong Medical Devices. Đối tượng bị ảnh hưởng là một chức năng không xác định thuộc thành phần Xác thực. Việc thao tác trong khuôn khổ Hardcoded Credential xác thực yếu. CWE được sử dụng để mô tả sự cố là CWE-287. Lỗ hổng đã được công bố vào 13/06/2013 bởi Billy Rios and Terry McCorkle với Cylance Inc. dưới mã ICS-ALERT-13-164-01 - Medical Devices Hard-Coded Passwords dưới dạng Khuyến cáo (Trang web). Tài liệu khuyến nghị đã được chia sẻ để tải về từ ics-cert.us-cert.gov. Việc phát hành công khai đã được phối hợp với nhà cung cấp. Nội dung tiết lộ gồm có:
Because of the critical and unique status that medical devices occupy, ICS-CERT has been working in close cooperation with the Food and Drug Administration (FDA) in addressing these issues. ICS-CERT and the FDA have notified the affected vendors of the report and have asked the vendors to confirm the vulnerability and identify specific mitigations. ICS-CERT is issuing this alert to provide early notice of the report and identify baseline mitigations for reducing risks to these and other cybersecurity attacks. ICS-CERT and the FDA will follow up with specific advisories and information as appropriate.
Không có chi tiết kỹ thuật nào được cung cấp. Mức độ phổ biến của lỗ hổng này cao hơn mức trung bình. Thêm vào đó, đã tồn tại mã khai thác. Vào thời điểm này, giá hiện tại của một khai thác có thể khoảng USD $0-$5k. Bối cảnh và cách thức đón nhận khiến lỗ hổng này mang tính lịch sử. Khuyến nghị nêu rõ:
Researchers Billy Rios and Terry McCorkle of Cylance have reported a hard-coded password vulnerability affecting roughly 300 medical devices across approximately 40 vendors. According to their report, the vulnerability could be exploited to potentially change critical settings and/or modify device firmware.
Nếu có giá trị độ dài, thì nó được gán là bằng chứng khái niệm. Với trạng thái 0-day, giá ngầm ước tính là khoảng $5k-$25k.
Khuyến cáo có ghi chú như sau:
Take steps to limit unauthorized device access to trusted users only, particularly for those devices that are life-sustaining or could be directly connected to hospital networks. Appropriate security controls may include: user authentication, for example, user ID and password, smartcard or biometric; strengthening password protection by avoiding hard?coded passwords and limiting public access to passwords used for technical device access; physical locks; card readers; and guards. Protect individual components from exploitation and develop strategies for active security protection appropriate for the device’s use environment. Such strategies should include timely deployment of routine, validated security patches and methods to restrict software or firmware updates to authenticated code. Note: The FDA typically does not need to review or approve medical device software changes made solely to strengthen cybersecurity. Use design approaches that maintain a device’s critical functionality, even when security has been compromised, known as "fail-safe modes." Provide methods for retention and recovery after an incident where security has been compromised. Cybersecurity incidents are increasingly likely and manufacturers should consider incident response plans that address the possibility of degraded operation and efficient restoration and recovery.
Bị ảnh hưởng
- Surgical/anesthesia devices
- Ventilators
- Drug infusion pumps
- External defibrillators
- Patient monitors
- Laboratory/analysis equipment
Sản phẩm
Loại
Tên
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Độ tin cậy: 🔍
CVSSv3
VulDB Điểm cơ sở meta: 9.8VulDB Điểm tạm thời meta: 9.0
VulDB Điểm cơ sở: 9.8
VulDB Điểm tạm thời: 9.0
VulDB Vector: 🔍
VulDB Độ tin cậy: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Véc-tơ | Độ phức tạp | Xác thực | Bí mật | Toàn vẹn | Khả dụng |
|---|---|---|---|---|---|
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
VulDB Điểm cơ sở: 🔍
VulDB Điểm tạm thời: 🔍
VulDB Độ tin cậy: 🔍
Khai thác
Lớp: Xác thực yếuCWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
Vật lý: Không
Cục bộ: Không
Từ xa: Có
Khả dụng: 🔍
Truy cập: Riêng tư
Trạng thái: Bằng chứng khái niệm
Tác giả: Billy Rios/Terry McCorkle
Dự đoán giá: 🔍
Ước tính giá hiện tại: 🔍
| 0-Day | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
|---|---|---|---|---|
| Hôm nay | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
Tình báo mối đe dọa
Sự quan tâm: 🔍Diễn viên đang hoạt động: 🔍
Nhóm APT đang hoạt động: 🔍
Biện pháp đối phó
Khuyến nghị: không biện pháp giảm thiểu nào được biếtTrạng thái: 🔍
Thời gian 0-ngày: 🔍
Firewalling: 🔍
dòng thời gian
13/06/2013 🔍14/06/2013 🔍
19/03/2019 🔍
Nguồn
Khuyến cáo: ICS-ALERT-13-164-01 - Medical Devices Hard-Coded PasswordsNhà nghiên cứu: Billy Rios, Terry McCorkle
Tổ chức: Cylance Inc.
Trạng thái: Không được định nghĩa
Đã phối hợp: 🔍
GCVE (VulDB): GCVE-100-9140
OSVDB: 94230
scip Labs: https://www.scip.ch/en/?labs.20161013
Khác: 🔍
mục
Được tạo: 14/06/2013 11:12Đã cập nhật: 19/03/2019 15:06
Thay đổi: 14/06/2013 11:12 (52), 19/03/2019 15:06 (2)
Hoàn chỉnh: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Chưa có bình luận nào Ngôn ngữ: vi + km + en.
Vui lòng đăng nhập để bình luận