CVE-2015-3459
WysokieStreszczenie
Moduł komunikacyjny w systemie infuzyjnym Hospira LifeCare PCA przed wersją 7.0 nie wymaga uwierzytelnienia dla sesji TELNET z uprawnieniami root, co umożliwia zdalnym atakującym modyfikację konfiguracji pompy za pomocą nieokreślonych poleceń.
Ocena ryzyka
Brak uwierzytelnienia dla sesji TELNET stwarza poważne ryzyko dla bezpieczeństwa, umożliwiając atakującym zdalne przejęcie kontroli nad urządzeniem i wprowadzenie nieautoryzowanych zmian.
Rekomendacja
Zaleca się aktualizację systemu do wersji 7.0 lub nowszej oraz wdrożenie dodatkowych środków zabezpieczających, takich jak ograniczenie dostępu do sesji TELNET.
Inne podatności w Hospira LifeCare PCA Infusion System
Zobacz wszystkie- CVE-2015-3958Wysokie
System infuzyjny Hospira LifeCare PCA w wersji 5.0 i wcześniejszych, a być może także w innych wersjach, umożliwia zdalnym atakującym spowodowanie odmowy usługi (wymuszonego ręcznego restartu) poprzez zalewanie pakietami TCP.
- CVE-2015-3955Wysokie
W systemie infuzyjnym Hospira LifeCare PCA w wersji 5.0 i wcześniejszych występuje przepełnienie bufora na stosie, które może pozwolić zdalnym atakującym na wykonanie dowolnego kodu.
- CVE-2014-5406Wysokie
System infuzyjny Hospira LifeCare PCA przed wersją 7.0 nie weryfikuje ruchu sieciowego związanego z przesyłaniem biblioteki leków, aktualizacji oprogramowania lub zmian konfiguracji. To umożliwia zdalnym atakującym modyfikację ustawień lub danych dotyczących leków za pomocą pakietów na portach TELNET, HTTP, HTTPS lub UPNP.
Oryginalny opis (angielski, źródło NVD)
The communication module on the Hospira LifeCare PCA Infusion System before 7.0 does not require authentication for root TELNET sessions, which allows remote attackers to modify the pump configuration via unspecified commands.