独B.Braun社の医療用輸液ポンプに5つの脆弱性
マカフィー株式会社は8月24日、B.Braun社の輸液ポンプの脆弱性を同社ブログにて公開した。
脆弱性と脅威
セキュリティホール・脆弱性
輸液ポンプは、栄養素や薬などの液体を制御された量で患者の体内に供給する医療機器で、B.Braun社は最大の輸液ポンプベンダーの1社で、同社製品は世界中で使用されている。
McAfee EnterpriseのAdvanced Threat Research（ATR）チームでは、成人及び小児の医療施設で使用されるB.Braun社の医療機器「Infusomat Space Large Volume Pump」と「SpaceStation」をCulinda社の支援を受けて調査を行ったところ、これまでに報告されていない医療システムの下記の脆弱性を発見した。
CVE-2021-33886：外部制御フォーマット文字列の使用（CVSS 8.1）
CVE-2021-33885：データの信頼性の検証が不十分（CVSS 9.7）
CVE-2021-33882：重要な機能の認証の欠損（CVSS 8.2）
CVE-2021-33883：機密情報のクリアテキスト送信（CVSS 7.1）
CVE-2021-33884：危険なタイプのファイルの無制限のアップロード（CVSS 5.4）
マカフィーのATRチームは、B.Braunチームに本脆弱性について通知と協力を行っており、ベンダーは脆弱性の効果的な軽減に向けて取り組む。
《高橋 潤哉》
