搜索

[9976] 2016-04-04_一个药品管理系统怎么会有这么多漏洞？

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2016-04-04_一个药品管理系统怎么会有这么多漏洞？ 一 个 药 品 管 理 系 统 怎 么 会 有 这 么 多 漏 洞 ？ 明 明 知 道   F r e e B u f   2 0 1 6 - 0 4 - 0 4 工 控 系 统 网 络 应 急 响 应 小 组 （ 工 控 系 统 网 络 应 急 响 应 小 组 （ I C S - C E R T ） 周 二 发 布 的 公 告 显 示 ， 一 个 被 广 泛 使 用 的 用 药 管 理 系 统 中 存 在 超 过 ） 周 二 发 布 的 公 告 显 示 ， 一 个 被 广 泛 使 用 的 用 药 管 理 系 统 中 存 在 超 过 1 4 0 0 个 个 漏 洞 。 漏 洞 。 安 全 研 究 者 的 独 立 之 道 安 全 研 究 者 的 独 立 之 道 P y x i s   S u p p l y S t a t i o n 是 由 美 国 C a r e F u s i o n 公 司 制 造 的 一 套 用 于 医 疗 行 业 的 自 动 化 供 应 管 理 系 统 。 这 一 系 统 被 广 泛 运 用 于 医 疗 保 健 行 业 ， 进 行 医 疗 用 品 的 发 放 并 能 实 时 跟 踪 存 量 。 两 位 独 立 安 全 研 究 员 B i l l y   R i o s 和 M i k e   A h m a d i 通 过 一 个 第 三 方 平 台 买 到 了 一 个 “ 二 手 ” 的 S u p p l y S t a t i o n 进 行 漏 洞 研 究 。 在 有 安 全 保 护 的 系 统 中 ， 他 们 使 用 了 一 个 自 动 化 软 件 构 成 分 析 工 具 进 行 静 态 二 进 制 分 析 ， 挖 掘 硬 件 的 漏 洞 。 需 要 强 调 的 一 点 是 ， 这 些 漏 洞 存 在 于 8 . 0 到 9 . 3 版 本 中 ， 运 行 在 微 软 2 0 0 3 或 者 X P 系 统 的 服 务 器 上 。 研 究 者 称 仅 8 . 1 . 3 系 统 上 就 有 1 4 1 8 个 漏 洞 ， 而 那 个 系 统 自 2 0 1 0 年 起 就 没 有 进 行 过 更 新 了 。 据 I C S - C E R T 介 绍 ， 这 些 漏 洞 覆 盖 了 7 个 第 三 方 供 应 商 软 件 包 和 8 4 个 不 同 的 文 件 。 这 些 过 时 的 第 三 方 软 件 组 件 ， 包 括 B M C   A p p s i g h t 、 S A P   C r y s t a l   R e p o r t s 和 微 软 W i n d o w s   X P 。 昨 天 ， A h m a d i 在 博 客 中 写 道 ： “ 第 三 方 软 件 包 的 问 题 非 常 值 得 关 注 ， 这 也 是 我 们 在 过 去 几 年 中 一 直 强 调 的 。 多 达 9 0 % 的 软 件 采 用 第 三 方 开 发 。 ” 由 于 C a r e F u s i o n 认 为 这 些 有 漏 洞 的 设 备 已 经 不 再 进 行 使 用 了 ， 因 此 就 放 弃 补 丁 ， 而 为 使 用 者 提 供 缓 减 措 施 ， 以 此 降 低 开 发 风 险 。 尽 管 C a r e F u s i o n 公 司 一 直 敦 促 用 户 将 系 统 与 互 联 网 隔 离 ， 但 是 这 样 的 方 式 只 能 治 标 不 治 本 。 对 待 漏 洞 ， 厂 商 态 度 好 转 对 待 漏 洞 ， 厂 商 态 度 好 转 R i o s 已 经 在 系 统 中 发 现 了 许 多 漏 洞 ， 其 中 也 包 括 2 0 1 4 年 被 曝 出 的 可 以 让 攻 击 者 进 行 远 程 控 制 的 漏 洞 。 直 到 去 年 春 天 ， C a r e F u s i o n 被 收 购 之 后 ， 处 理 漏 洞 的 态 度 才 开 始 有 所 好 转 。   R i o s 告 诉 媒 体 ： “ 几 年 前 ， 我 报 告 了 一 些 影 响 C a r e f u s i o n 产 品 的 漏 洞 ， 却 很 少 得 到 反 馈 。 自 从 他 们 被 收 购 之 后 ， 响 应 就 积 极 多 了 。 ” 据 A h m a d i 介 绍 ， 收 购 C a r e F u s i o n 的 B D 公 司 产 品 安 全 负 责 人 R o b   S u a r e z 并 没 有 否 认 漏 洞 的 存 在 。 A h m a d i 说 这 种 与 厂 商 的 合 作 非 常 重 要 ， S u a r e z 甚 至 还 提 供 了 P y x i s   S u p p l y S t a t i o n 所 有 六 个 系 统 （ 8 . 0 、 8 . 1 . 3 、 9 . 0 、 9 . 1 、 9 . 2 、 9 . 3 ） 用 于 这 次 的 安 全 研 究 。 情 况 与 2 0 1 4 年 大 不 相 同 ， 这 份 报 告 中 提 及 的 所 有 漏 洞 都 已 经 被 厂 商 、 供 应 商 确 认 。 R i o s 说 ：
“ 第 一 份 公 告 中 没 有 变 种 的 分 析 ， 看 起 来 像 是 C a r e f u s i o n 淡 化 了 出 现 的 问 题 。 而 第 二 份 报 告 列 出 了 所 有 受 影 响 版 本 ， 也 获 得 了 B D 的 认 可 ， 这 是 一 个 极 大 的 进 步 。 ” * 参 考 来 源 ： T h r e a t p o s t ， F B 小 编 明 明 知 道 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理