美敦力医疗装备多个误差清静通告

宣布时间 2019-11-11

误差编号和级别


CVE编号：CVE-2019-13543 ，，，，危险级别：中危 ，，，，CVSS分值：厂商自评：5.8 ，，，，官方未评定

CVE编号：CVE-2019-13539 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：7.0 ，，，，官方未评定

CVE编号：CVE-2019-3464 ，，，，危险级别：严重 ，，，，CVSS分值：9.8

CVE编号：CVE-2019-3463 ，，，，危险级别：严重 ，，，，CVSS分值：9.8


影响版本


Valleylab Exchange Client 3.4及更低版本

Valleylab FT10能源平台（VLFT10GEN）软件版本4.0.0及以下

Valleylab FX8能源平台（VLFX8GEN）软件版本1.1.0及以下


误差概述


美国美敦力公司（Medtronic, Inc.）建设于1949年 ，，，，总部位于美国明尼苏达州明尼阿波利斯市 ，，，，是全球领先的医疗科技公司。。。。。。。其中Valleylab产品保存以下误差：


CVE-2019-13543


受影响的装备使用多组硬编码的凭证 ，，，，若是袒露 ，，，，则可能允许攻击者读取文件。。。。。。。


CVE-2019-13539


易受攻击的产品使用descrypt算法举行OS密码哈希处置惩罚。。。。。。。只管基于网络的登录已禁用 ，，，，但其他误差也可以用于获取外地Shell会见并获取这些哈希。。。。。。。


CVE-2019-3464和CVE-2019-3463


在这些产品中使用的易受攻击的rssh适用程序版本可增进文件上传 ，，，，这可能会使攻击者获得对文件的治剖析见权限或执行恣意代码。。。。。。。


误差验证


暂无POC/EXP。。。。。。。


修复建议


美敦力公司宣布的清静补丁现已可用于FT10平台 ，，，，预计将在2020年头针对FX8平台宣布：https://www.medtronic.com/covidien/en-us/support/software.html。。。。。。。


参考链接


https://www.us-cert.gov/ics/advisories/icsma-19-311-02