内容简介：一家网络安全公司在最近警告称，由瑞士健康事业公司罗氏（Roche）医疗诊断部门生产的几款医疗器械中存在多个安全漏洞，可能会让患者的人身安全面临风险。来自以色列医疗设备安全企业Medigate的安全研究员Niv Yehezkel发现，由罗氏生产的三款医疗器械存在五个安全漏洞。总的来说，这些漏洞会影响到Accu-Chek血糖仪、抗凝治疗医疗专业人员使用的CoaguChek凝血检测仪以及Cobas便携式手持血液分析仪。
一家网络安全公司在最近警告称，由瑞士健康事业公司罗氏（Roche）医疗诊断部门生产的几款医疗器械中存在多个安全漏洞，可能会让患者的人身安全面临风险。
来自以色列医疗设备安全企业Medigate的安全研究员Niv Yehezkel发现，由罗氏生产的三款医疗器械存在五个安全漏洞。总的来说，这些漏洞会影响到Accu-Chek血糖仪、抗凝治疗医疗专业人员使用的CoaguChek凝血检测仪以及Cobas便携式手持血液分析仪。
在美国工业互联网安全应急响应中心（ICS-CERT）最近发布的一份 咨询 中，我们可以找到所有易受攻击的产品和版本的详细信息。值得注意的是，每一个漏洞都会影响罗氏医疗器械的多个型号和版本。
接下来，就让我们来看看详细的漏洞信息，以及它们所对应的医疗器械型号和版本。
第一个漏洞：CVE-2018-18561
漏洞描述：弱访问凭证漏洞，允许攻击者可以通过服务接口来获得未经授权的服务访问。
CVSS v3评分：6.5
受影响产品型号和版本：
- Accu-Chek Inform II Base Unit / Base Unit Hub–03.01.04之前的所有版本
- CoaguChek / cobas h232 Handheld Base Unit–03.01.04之前的所有版本
第二个漏洞：CVE-2018-18562
漏洞描述：OS命令注入漏洞，服务接口中的不安全权限允许通过身份验证的攻击者在操作系统上执行任意命令。
CVSS v3评分：8.0
受影响产品型号和版本：
- Accu-Chek Inform II Base Unit / Base Unit Hub–03.01.04之前的所有版本
- CoaguChek / cobas h232 Handheld Base Unit–03.01.04之前的所有版本
第三个漏洞：CVE-2018-18563
漏洞描述：任意文件覆盖漏洞，软件更新机制中的漏洞允许攻击者通过精心设计的更新包覆盖系统上的任意文件。
CVSS v3评分：8.0
受影响产品型号和版本：
- CoaguChek Pro II–04.03.00之前的所有版本
- CoaguChek XS Plus–03.01.06之前的所有版本
- CoaguChek XS Pro–03.01.06之前的所有版本
- cobas h 232–03.01.03之前的所有版本（序列号低于KQ0400000或KS0400000）
- cobas h 232–04.00.04之前的所有版本（序列号低于KQ0400000或KS0400000）
第四个漏洞：CVE-2018-18564
漏洞描述：任意代码执行漏洞，对服务命令的不正确访问控制允许攻击者通过精心制作的消息在系统上执行任意代码。
CVSS v3评分：8.3
受影响产品型号和版本：
- Accu-Chek Inform II Instrument–03.06.00之前的所有版本（序列号低于14000）/ 04.03.00之前的所有版本（序列号高于14000）
- CoaguChek Pro II–04.03.00之前的所有版本
- cobas h 232–04.00.04之前的所有版本（序列号高于KQ0400000或KS0400000）
第五个漏洞：CVE-2018-18565
漏洞描述：配置任意修改漏洞，不正确的访问控制允许攻击者更改仪器配置。
CVSS v3评分：8.2
受影响产品型号和版本：
- Accu-Chek Inform II Instrument–03.06.00之前的所有版本（序列号低于14000）/ 04.03.00之前的所有版本（序列号高于14000）
- CoaguChek Pro II–04.03.00之前的所有版本
- CoaguChek XS Plus–03.01.06之前的所有版本
- CoaguChek XS Pro–03.01.06之前的所有版本
- cobas h 232–03.01.03之前的所有版本（序列号低于KQ0400000或KS0400000）
- cobas h 232–04.00.04之前的所有版本（序列号低于KQ0400000或KS0400000）
罗氏提供的漏洞缓解措施
罗氏建议对联网设备（以太网和Wi-Fi）采取以下缓解措施：
- 通过启用设备安全功能，限制对设备和连接的基础架构的网络和物理访问。
- 保护连接的端点免受未经授权的访问、盗窃和恶意软件的侵害。
- 监控系统和网络基础设施是否存在可疑活动，并根据当地政策向相关部门进行报告。
对于非联网设备：
- 防止未经授权的访问、盗窃和操纵。
对于所有受影响的产品，罗氏已计划在2018年11月开始发布新的软件更新。
声明：本文来自黑客视界，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如需转载，请联系原作者获取授权。
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Java核心技术·卷 I（原书第10版）
[美] 凯.S.霍斯特曼（Cay S. Horstmann） / 周立新 等 / 机械工业出版社 / 2016-9 / CNY 119.00
Java领域最有影响力和价值的著作之一，由拥有20多年教学与研究经验的资深Java技术专家撰写(获Jolt大奖)，与《Java编程思想》齐名，10余年全球畅销不衰，广受好评。第10版根据Java SE 8全面更新，同时修正了第9版中的不足，系统全面讲解了Java语言的核 心概念、语法、重要特性和开发方法，包含大量案例，实践性强。 一直以来，《Java核心技术》都被认为是面向高级程序员的经典教......一起来看看 《Java核心技术·卷 I（原书第10版）》 这本书的介绍吧!
