Bitguard
又一个智能医疗设备内存在安全隐患的案例：最近媒体曝光了一批Hospira生产的输液泵内存在一系列远程可利用漏洞，使得网络攻击者能对受影响注射泵进行全面操控或简单地让设备陷入瘫痪。
这些输液泵是智能和联网医疗设备新浪潮的代表产品。正如我们之前所写到的，智能医疗设备（尤其是高科技胰岛素泵）能从根本上消除需要慢性给药人为失误方面的风险。不幸的是，许多开发这些智能医疗设备的公司依然对网络安全性问题熟视无睹。
Hospira生产的Lifecare PCA输液泵的漏洞之多，连安全研究人员Jeremy Richards都表示这是他有史以来看到过的安全性最低的PI启用设备。Richards表示远程攻击者能够让受影响设备完全陷入瘫痪，而且所采用的程序几乎人人皆知。
“除了易遭网络攻击以外，” Richards写道，”其糟糕的编程使得只要输错一次就会让设备陷入瘫痪。”
他宣称一些潜在的网络攻击者还可能会更新设备软件、运行命令甚至篡改特定药物数据库，而印在药瓶上含有剂量和其它信息的条形码始终与数据库数据保持同步。
有趣的是，有两名研究人员各自发现了输液泵中存在bug。首先是Billy Rios，他曾因成功黑客入侵机场安全系统、洗车场以及智能家居系统而为人所知。
A security flaw in a widely used IV pump lets hackers raise drug-dosage limits http://t.co/8FuMz23ngG
— WIRED (@WIRED) April 10, 2015
尽管早在一年以前Rios就向ICS-CERT（赛博应急响应小组）透露了他的研究，但从未向公众公开，Richards则在上周公开这一研究。Rios因 Richards公开了他的研究发现而特地在特地向他表示了感谢。
@dyngnosis submitted to ICS-CERT a year ago, but feel free to publish!
— Billy Rios (@XSSniper) April 29, 2015
更令人担忧的是，这些Hospira生产的智能医疗设备以纯文本形式保存网络Wi-Fi保护访问（WPA）密钥。一旦网络攻击者能够窃取其中一个WPA密钥，这将造成同一网络内的所有其它设备遭受监视并可能发生大量其他网络攻击。而一旦医院没有在将这些停用设备报废或重新出售之前清除网络密钥的话，这些密钥很可能将落入不法分子手中。更简单地说，这些设备含有一个暴露的以太网端口，只需使用自动黑客工具就能简单和快速地实施本地攻击。
目前还不清楚Hospra是否打算修复这些漏洞。Richards宣称该公司正在计划进行修复，但公司的声明似乎又与这一事实相互矛盾。
某些#Hospira#输液泵含有危险和能轻易利用的#安全漏洞
Tweet
在回复我们Threatpost同事Chris Brook的一封电邮中，Hospira这样说道：”在临床应用中还没有出现一例Hospira医疗设备被黑客攻破的案例，Hospira已采取了具有前瞻性的方法来解决潜在的网络安全漏洞。”
该公司宣称已向现有客户传达了如何解决这些漏洞的方法。然而，公司却没有明确表示是否将解决存在于目前所有产品中的漏洞。Hospira只是说将计划在未来的产品中尽量减少这些问题。
“成功利用漏洞需要攻破由医院信息系统设置的多层网络安全防线，其中还包括多层安全防火墙。”公司在其一项声明中表示。”这些网络安全措施作为首条也是最强大的安全防线，能有效防止数据篡改，同时输液泵和软件本身也提供额外的一层安全防御。”
与此同时，与您分享以下内容：
Don't buy a Hospira PCA drug pump to do security stuff. Busybx no passwd shell on 23, no-auth CGIs, also never hook it up to a human being
— dyngnosis (@dyngnosis) April 27, 2015
提示