McAfee安全研究人員當(dāng)?shù)貢r(shí)間8月24日表示，他們?cè)?a class="innerlink" href="http://theprogrammingfactory.com/tags/輸液泵" target="_blank">輸液泵軟件中發(fā)現(xiàn)了多個(gè)漏洞，在特定條件下，熟練的黑客可以利用這些漏洞將患者的藥物劑量改變到潛在的不安全水平。這些漏洞存在于跨國供應(yīng)商B. Braun生產(chǎn)的設(shè)備中，這些設(shè)備被用于美國的兒科和成人醫(yī)療機(jī)構(gòu)。

　　雖然目前還沒有惡意利用這些漏洞的報(bào)告，但這項(xiàng)研究表明，在當(dāng)今21世紀(jì)數(shù)字化威脅泛化的時(shí)代，保護(hù)幾十年前設(shè)備免遭危害面臨重大挑戰(zhàn)。這一調(diào)查結(jié)果出爐之際，醫(yī)療衛(wèi)生行業(yè)正面臨疫情期間一系列勒索軟件攻擊老化的醫(yī)院計(jì)算機(jī)網(wǎng)絡(luò)的問題。

　　McAfee高級(jí)威脅研究團(tuán)隊(duì)的負(fù)責(zé)人Steve Povolny說，醫(yī)療設(shè)備“仍然容易受到多年來一直存在的遺留問題的影響，它們的更新或升級(jí)周期異常緩慢?！毖芯咳藛T發(fā)現(xiàn)了醫(yī)療系統(tǒng)中五個(gè)以前未報(bào)告的漏洞，其中包括：

　　CVE-2021-33886 – 使用外部控制格式字符串 （CVSS 7.7）

　　CVE-2021-33885 – 數(shù)據(jù)真實(shí)性驗(yàn)證不足 （CVSS 9.7）

　　CVE-2021-33882 – 缺少關(guān)鍵功能的身份驗(yàn)證 （CVSS 8.2）

　　CVE-2021-33883 – 敏感信息的明文傳輸 （CVSS 7.1）

　　CVE-2021-33884 – 無限制上傳具有危險(xiǎn)類型的文件 （CVSS 5.8）

　　總之，這些漏洞可能被惡意行為者用來修改泵的配置，而泵處于待機(jī)模式，導(dǎo)致在下次使用時(shí)向患者提供意外劑量的藥物——所有這些都是零身份驗(yàn)證。根據(jù) McAfee的漏洞披露政策，已于 2021 年 1 月 11 日向 B. Braun 報(bào)告了其初步調(diào)查結(jié)果。此后不久，他們做出回應(yīng)并開始與 ATR 進(jìn)行持續(xù)對(duì)話，同時(shí)努力采用我們?cè)谂秷?bào)告中概述的緩解措施。

　　B. Braun公司在一份聲明中表示，該公司在5月份向客戶和健康信息共享與分析中心（Health Information Sharing and Analysis Center）披露了這些漏洞以及緩解措施，這些漏洞影響到“一小部分使用B. Braun較老版本軟件的設(shè)備”。該公司沒有提供受影響設(shè)備的估計(jì)數(shù)量。

　　“我們強(qiáng)烈反對(duì)McAfee在其帖子中的描述，即這是一個(gè)‘現(xiàn)實(shí)的場(chǎng)景’，患者的安全處于危險(xiǎn)之中，”B. Braun的聲明繼續(xù)說。“我們有一個(gè)強(qiáng)大的漏洞披露計(jì)劃，當(dāng)漏洞被發(fā)現(xiàn)時(shí)，我們的目標(biāo)是盡快降低潛在風(fēng)險(xiǎn)?！?/p>

　　這項(xiàng)研究附帶了一些警告：攻擊場(chǎng)景要求黑客首先訪問設(shè)備運(yùn)行的本地網(wǎng)絡(luò)，并且輸液泵必須處于待機(jī)狀態(tài)，而不是在使用中。完整和攻擊鏈如下圖。

　　醫(yī)療專業(yè)人員也會(huì)監(jiān)測(cè)輸液泵給藥的劑量，并接受培訓(xùn)以發(fā)現(xiàn)異常情況。盡管如此，Povolny和他的同事們證明了攻擊者是如何偷偷地改變藥物劑量的——而機(jī)器卻毫不知情。

　　在進(jìn)入注射泵的通信模塊后，McAfee的研究人員展示了他們?nèi)绾螌⒋a注入到機(jī)器用來與泵的配置進(jìn)行通信的二進(jìn)制文件中。他們說，為了掩蓋他們的蹤跡，研究人員只需重新啟動(dòng)注射泵，抹去他們命令的證據(jù)。

　　據(jù)McAfee的研究人員稱，雖然Braun輸液泵的最新版本阻止了研究人員訪問輸液泵通信模塊的途徑，但黑客還有其他可能的入口。研究人員說，B. Braun尚未發(fā)布完全解決安全問題的軟件更新。

　　（McaFee高級(jí)威脅研究團(tuán)隊(duì)演示對(duì)Braun輸液泵的攻擊）

　　美國食品和藥物管理局（Food and Drug Administration，簡稱FDA）的一位發(fā)言人表示，該機(jī)構(gòu)尚未被告知這一漏洞的披露。

　　FDA發(fā)言人表示：“FDA將與研究人員聯(lián)系，在公布漏洞信息后檢查漏洞信息，并將與醫(yī)療器械制造商協(xié)調(diào)，對(duì)影響評(píng)估進(jìn)行審查，以確定是否存在可能涉及監(jiān)管的潛在患者安全問題。”

　　據(jù)估計(jì)，全球每年有超過2 億次靜脈輸液。輸液泵市場(chǎng)顯然是攻擊者的潛在目標(biāo)。該市場(chǎng)的年收入估計(jì)為 540 億美元，2020 年美國靜脈注射泵的銷售額為 135 億美元。靜脈泵本質(zhì)上被認(rèn)為是安全的，并且隨著時(shí)間的推移已成為有效和準(zhǔn)確地輸注藥物的支柱。B. Braun 是主要的市場(chǎng)份額持有者之一在這個(gè)快速增長的市場(chǎng)中，強(qiáng)調(diào)了這些漏洞發(fā)現(xiàn)的影響。B. Braun總部位于賓夕法尼亞州，在世界各地都有辦事處，去年的銷售額為87億美元。

　　近年來，隨著研究人員更仔細(xì)地檢查醫(yī)療設(shè)備的可黑客漏洞，F(xiàn)DA已試圖敦促供應(yīng)商采取更好的安全措施。

　　例如，2019年，在研究人員展示了黑客可能控制主要供應(yīng)商美敦力（Medtronic）生產(chǎn)的胰島素泵上的胰島素輸送后，F(xiàn)DA要求患者改用更安全的胰島素泵型號(hào)。

　　越來越多的醫(yī)療設(shè)備供應(yīng)商建立了漏洞披露程序，在此程序中，研究人員可以在壞人利用軟件缺陷之前報(bào)告它們。但專家表示，該行業(yè)仍難以迅速應(yīng)用關(guān)鍵軟件更新。

　　McAfee的研究是實(shí)時(shí)操作系統(tǒng)（RTOS）的最新研究，RTOS是在能源和醫(yī)療等領(lǐng)域管理網(wǎng)絡(luò)數(shù)據(jù)流的軟件樞紐。黑莓上周證實(shí)，在輸液泵中很受歡迎的實(shí)時(shí)操作系統(tǒng)（RTOS）也容易受到一組單獨(dú)的拒絕服務(wù)漏洞的影響。

　　McAfee在其博客文章的結(jié)論中寫道，“我們希望這項(xiàng)研究能幫助人們意識(shí)到這一長期以來一直處于盲點(diǎn)的領(lǐng)域。諾德克博士（醫(yī)學(xué)博士，是 1 級(jí)創(chuàng)傷中心的介入放射學(xué)住院醫(yī)師，之前曾擔(dān)任陸軍軍醫(yī)和專職醫(yī)療人員。從事醫(yī)學(xué)領(lǐng)域20余年。）肯定了這項(xiàng)研究的重要性，他說：”在不被終端用戶發(fā)現(xiàn)的情況下，以一種可能對(duì)患者造成傷害的方式操縱醫(yī)療設(shè)備，實(shí)際上是將設(shè)備武器化，這是一種之前只有好萊塢才構(gòu)想出來的東西，McAfee的ATR團(tuán)隊(duì)已經(jīng)證實(shí)是可行的?！霸O(shè)備制造商明確的目標(biāo)是生產(chǎn)安全可靠的產(chǎn)品，這證明了內(nèi)置保障措施的重要性。然而，可能存在的缺陷，使設(shè)備屈服于勒索攻擊或潛在的傷害。因此，制造商應(yīng)該與安全專業(yè)人員合作，獨(dú)立測(cè)試他們的產(chǎn)品，以發(fā)現(xiàn)和糾正潛在的威脅，從而維護(hù)患者安全和設(shè)備安全?！?/p>