CVE-2014-5406
WysokieStreszczenie
System infuzyjny Hospira LifeCare PCA przed wersją 7.0 nie weryfikuje ruchu sieciowego związanego z przesyłaniem biblioteki leków, aktualizacji oprogramowania lub zmian konfiguracji. To umożliwia zdalnym atakującym modyfikację ustawień lub danych dotyczących leków za pomocą pakietów na portach TELNET, HTTP, HTTPS lub UPNP.
Ocena ryzyka
Atakujący mogą zdalnie zmieniać krytyczne ustawienia systemu infuzyjnego, co może prowadzić do podania niewłaściwych dawek leków, stwarzając poważne zagrożenie dla pacjentów.
Rekomendacja
Zaleca się aktualizację systemu do wersji 7.0 lub nowszej oraz wdrożenie odpowiednich zabezpieczeń sieciowych, aby ograniczyć dostęp do portów TELNET, HTTP, HTTPS i UPNP.
Inne podatności w Hospira LifeCare PCA Infusion System
Zobacz wszystkie- CVE-2015-3958Wysokie
System infuzyjny Hospira LifeCare PCA w wersji 5.0 i wcześniejszych, a być może także w innych wersjach, umożliwia zdalnym atakującym spowodowanie odmowy usługi (wymuszonego ręcznego restartu) poprzez zalewanie pakietami TCP.
- CVE-2015-3955Wysokie
W systemie infuzyjnym Hospira LifeCare PCA w wersji 5.0 i wcześniejszych występuje przepełnienie bufora na stosie, które może pozwolić zdalnym atakującym na wykonanie dowolnego kodu.
- CVE-2015-3459Wysokie
Moduł komunikacyjny w systemie infuzyjnym Hospira LifeCare PCA przed wersją 7.0 nie wymaga uwierzytelnienia dla sesji TELNET z uprawnieniami root, co umożliwia zdalnym atakującym modyfikację konfiguracji pompy za pomocą nieokreślonych poleceń.
Oryginalny opis (angielski, źródło NVD)
The Hospira LifeCare PCA Infusion System before 7.0 does not validate network traffic associated with sending a (1) drug library, (2) software update, or (3) configuration change, which allows remote attackers to modify settings or medication data via packets on the (a) TELNET, (b) HTTP, (c) HTTPS, or (d) UPNP port. NOTE: this issue might overlap CVE-2015-3459.