McAfee安全研究人員當地時間8月24日表示，他們在輸液泵軟件中發現了多個漏洞，在特定條件下，熟練的黑客可以利用這些漏洞將患者的藥物劑量改變到潛在的不安全水平。這些漏洞存在于跨國供應商B. Braun生產的設備中，這些設備被用于美國的兒科和成人醫療機構。

　　雖然目前還沒有惡意利用這些漏洞的報告，但這項研究表明，在當今21世紀數字化威脅泛化的時代，保護幾十年前設備免遭危害面臨重大挑戰。這一調查結果出爐之際，醫療衛生行業正面臨疫情期間一系列勒索軟件攻擊老化的醫院計算機網絡的問題。

　　McAfee高級威脅研究團隊的負責人Steve Povolny說，醫療設備“仍然容易受到多年來一直存在的遺留問題的影響，它們的更新或升級周期異常緩慢。”研究人員發現了醫療系統中五個以前未報告的漏洞，其中包括：

　　CVE-2021-33886 – 使用外部控制格式字符串 （CVSS 7.7）

　　CVE-2021-33885 – 數據真實性驗證不足 （CVSS 9.7）

　　CVE-2021-33882 – 缺少關鍵功能的身份驗證 （CVSS 8.2）

　　CVE-2021-33883 – 敏感信息的明文傳輸 （CVSS 7.1）

　　CVE-2021-33884 – 無限制上傳具有危險類型的文件 （CVSS 5.8）

　　總之，這些漏洞可能被惡意行為者用來修改泵的配置，而泵處于待機模式，導致在下次使用時向患者提供意外劑量的藥物——所有這些都是零身份驗證。根據 McAfee的漏洞披露政策，已于 2021 年 1 月 11 日向 B. Braun 報告了其初步調查結果。此后不久，他們做出回應并開始與 ATR 進行持續對話，同時努力采用我們在披露報告中概述的緩解措施。

　　B. Braun公司在一份聲明中表示，該公司在5月份向客戶和健康信息共享與分析中心（Health Information Sharing and Analysis Center）披露了這些漏洞以及緩解措施，這些漏洞影響到“一小部分使用B. Braun較老版本軟件的設備”。該公司沒有提供受影響設備的估計數量。

　　“我們強烈反對McAfee在其帖子中的描述，即這是一個‘現實的場景’，患者的安全處于危險之中，”B. Braun的聲明繼續說。“我們有一個強大的漏洞披露計劃，當漏洞被發現時，我們的目標是盡快降低潛在風險。”

　　這項研究附帶了一些警告：攻擊場景要求黑客首先訪問設備運行的本地網絡，并且輸液泵必須處于待機狀態，而不是在使用中。完整和攻擊鏈如下圖。

　　醫療專業人員也會監測輸液泵給藥的劑量，并接受培訓以發現異常情況。盡管如此，Povolny和他的同事們證明了攻擊者是如何偷偷地改變藥物劑量的——而機器卻毫不知情。

　　在進入注射泵的通信模塊后，McAfee的研究人員展示了他們如何將代碼注入到機器用來與泵的配置進行通信的二進制文件中。他們說，為了掩蓋他們的蹤跡，研究人員只需重新啟動注射泵，抹去他們命令的證據。

　　據McAfee的研究人員稱，雖然Braun輸液泵的最新版本阻止了研究人員訪問輸液泵通信模塊的途徑，但黑客還有其他可能的入口。研究人員說，B. Braun尚未發布完全解決安全問題的軟件更新。

　　（McaFee高級威脅研究團隊演示對Braun輸液泵的攻擊）

　　美國食品和藥物管理局（Food and Drug Administration，簡稱FDA）的一位發言人表示，該機構尚未被告知這一漏洞的披露。

　　FDA發言人表示：“FDA將與研究人員聯系，在公布漏洞信息后檢查漏洞信息，并將與醫療器械制造商協調，對影響評估進行審查，以確定是否存在可能涉及監管的潛在患者安全問題。”

　　據估計，全球每年有超過2 億次靜脈輸液。輸液泵市場顯然是攻擊者的潛在目標。該市場的年收入估計為 540 億美元，2020 年美國靜脈注射泵的銷售額為 135 億美元。靜脈泵本質上被認為是安全的，并且隨著時間的推移已成為有效和準確地輸注藥物的支柱。B. Braun 是主要的市場份額持有者之一在這個快速增長的市場中，強調了這些漏洞發現的影響。B. Braun總部位于賓夕法尼亞州，在世界各地都有辦事處，去年的銷售額為87億美元。

　　近年來，隨著研究人員更仔細地檢查醫療設備的可黑客漏洞，FDA已試圖敦促供應商采取更好的安全措施。

　　例如，2019年，在研究人員展示了黑客可能控制主要供應商美敦力（Medtronic）生產的胰島素泵上的胰島素輸送后，FDA要求患者改用更安全的胰島素泵型號。

　　越來越多的醫療設備供應商建立了漏洞披露程序，在此程序中，研究人員可以在壞人利用軟件缺陷之前報告它們。但專家表示，該行業仍難以迅速應用關鍵軟件更新。

　　McAfee的研究是實時操作系統（RTOS）的最新研究，RTOS是在能源和醫療等領域管理網絡數據流的軟件樞紐。黑莓上周證實，在輸液泵中很受歡迎的實時操作系統（RTOS）也容易受到一組單獨的拒絕服務漏洞的影響。

　　McAfee在其博客文章的結論中寫道，“我們希望這項研究能幫助人們意識到這一長期以來一直處于盲點的領域。諾德克博士（醫學博士，是 1 級創傷中心的介入放射學住院醫師，之前曾擔任陸軍軍醫和專職醫療人員。從事醫學領域20余年。）肯定了這項研究的重要性，他說：”在不被終端用戶發現的情況下，以一種可能對患者造成傷害的方式操縱醫療設備，實際上是將設備武器化，這是一種之前只有好萊塢才構想出來的東西，McAfee的ATR團隊已經證實是可行的。“設備制造商明確的目標是生產安全可靠的產品，這證明了內置保障措施的重要性。然而，可能存在的缺陷，使設備屈服于勒索攻擊或潛在的傷害。因此，制造商應該與安全專業人員合作，獨立測試他們的產品，以發現和糾正潛在的威脅，從而維護患者安全和設備安全。”