美敦力医疗设备多个缝隙安全公告

颁布功夫 2019-11-11

缝隙编号和级别


CVE编号：CVE-2019-13543，，，，，，，，危险级别：中危，，，，，，，，CVSS分值：厂商自评：5.8，，，，，，，，官方未评定

CVE编号：CVE-2019-13539，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：7.0，，，，，，，，官方未评定

CVE编号：CVE-2019-3464，，，，，，，，危险级别：严沉，，，，，，，，CVSS分值：9.8

CVE编号：CVE-2019-3463，，，，，，，，危险级别：严沉，，，，，，，，CVSS分值：9.8


影响版本


Valleylab Exchange Client 3.4及更低版本

Valleylab FT10能源平台（VLFT10GEN）软件版本4.0.0及以下

Valleylab FX8能源平台（VLFX8GEN）软件版本1.1.0及以下


缝隙概述


美国美敦力公司（Medtronic, Inc.）成立于1949年，，，，，，，，总部位于美国明尼苏达州明尼阿波利斯市，，，，，，，，是全球当先的医疗科技公司。 。。。。。其中Valleylab产品存在以下缝隙：


CVE-2019-13543


受影响的设备使用多组硬编码的痛处，，，，，，，，若是露出，，，，，，，，则可能允许攻击者读取文件。 。。。。。


CVE-2019-13539


易受攻击的产品使用descrypt算法进行OS密码哈希处置。 。。。。。只管基于网络的登录已禁用，，，，，，，，但其他缝隙也能够用于获取本地Shell接见并获取这些哈希。 。。。。。


CVE-2019-3464和CVE-2019-3463


在这些产品中使用的易受攻击的rssh实用法式版本可推进文件上传，，，，，，，，这可能会使攻击者获得对文件的治理接见权限或执行肆意代码。 。。。。。


缝隙验证


暂无POC/EXP。 。。。。。


建复建议


美敦力公司颁布的安全补丁现已可用于FT10平台，，，，，，，，预计将在2020岁首针对FX8平台颁布：https://www.medtronic.com/covidien/en-us/support/software.html。 。。。。。


参考链接


https://www.us-cert.gov/ics/advisories/icsma-19-311-02