Τα συστήματα πνευματικών σωλήνων (PTS) που χρησιμοποιούνται σε χιλιάδες νοσοκομεία παγκοσμίως είναι ευάλωτα σε ένα σύνολο εννέα κρίσιμων ζητημάτων ασφαλείας που συλλογικά αναφέρονται ως PwnedPiper.
Οι λύσεις PTS αποτελούν μέρος της κρίσιμης υποδομής ενός νοσοκομείου καθώς χρησιμοποιούνται για την γρήγορη παράδοση αντικειμένων όπως αίματος, ιστού, εργαστηριακών δειγμάτων ή φαρμάκων εκεί που χρειάζονται.
Δείτε επίσης: Η Google λανσάρει μια νέα πλατφόρμα bug bounty
Τα ελαττώματα βρίσκονται σε μερικά από τα συστήματα TransLogic Pneumatic Tube της SwissLog, μια αυτοματοποιημένη λύση μεταφοράς υλικού για τη μεταφορά ιατρικών ειδών σε μεγαλύτερες αποστάσεις σε μεσαία έως μεγάλα νοσοκομεία.
Σύμφωνα με τον κατασκευαστή, το TransLogic PTS είναι παρόν σε περισσότερα από 2.300 νοσοκομεία στη Βόρεια Αμερική και περισσότερες από 3.000 μονάδες παγκοσμίως επωφελούνται από την 24ωρη υποστήριξη πελατών.
Το κρίσιμο bug δεν έχει διορθωθεί
Η έρευνα της εταιρείας Armis, αποκάλυψε ότι ένας μη πιστοποιημένος εισβολέας θα μπορούσε να αποκτήσει τον πλήρη έλεγχο σε ορισμένους σταθμούς TransLogic PTS που είναι συνδεδεμένοι στο διαδίκτυο και στη συνέχεια να αναλάβει ολόκληρο το δίκτυο PTS ενός νοσοκομείου.
Συγκεκριμένα, η εταιρεία ανακάλυψε εννέα κρίσιμες ευπάθειες (PwnedPiper) στο firmware που τροφοδοτεί το Nexus Control Panel για τη διαχείριση «όλων των τρεχόντων μοντέλων σταθμών Translogic PTS».
Δείτε επίσης: Το Signal διορθώνει bug που έστελνε τυχαίες εικόνες σε λάθος επαφές
Ενώ δεν θα μπορούσαν να αξιοποιηθούν όλα τα ζητήματα από έναν απομακρυσμένο επιτιθέμενο, το επίπεδο σοβαρότητάς τους παραμένει υψηλό, δεδομένου του ρόλου του PTS σε ένα νοσοκομείο.
Η εταιρεία σημειώνει σε advisory αυτό το Σαββατοκύριακο ότι τα επηρεαζόμενα προϊόντα PTS “αναπτύσσονται κυρίως σε νοσοκομεία στη Βόρεια Αμερική”.
Η Jennie McQuade, Chief Privacy Officer για την Swisslog Healthcare, λέει ότι τα θέματα ασφάλειας δεν είναι παρόντα, εκτός αν δημιουργηθεί ένας συνδυασμός συνθηκών.
Η Armis ανέφερε τα τρωτά σημεία την 1η Μαΐου και συνεργάστηκε με την Swisslog για να αναπτύξει και να δοκιμάσει ένα βιώσιμο patch (v7.2.5.7), καθώς και να βρει βήματα μετριασμού για τα νοσοκομεία που δεν μπορούν να εφαρμόσουν αμέσως την διόρθωση.
Δείτε επίσης: Chromebook login bug: Σε λίγες μέρες έρχεται η λύση!
Το τρέχον firmware update, ωστόσο, αντιμετωπίζει όλες τις ευπάθειες εκτός από μία, την CVE-2021-37160, που είναι η πιο σοβαρή από όλες. Η Swisslog θα την διορθώσει σε μελλοντική έκδοση firmware.
Πηγή πληροφοριών: bleepingcomputer.com
