网络安全研究人员披露了一组被称为“ PwnedPiper ”的九个漏洞，这些漏洞使广泛使用的气动管系统 (PTS) 容易受到严重攻击，包括可能会完全接管系统。安全漏洞影响了Swisslog Healthcare的Translogic PTS系统，该系统安装在北美约80%的主要医院和全球不少于3,000家医院中。
研究人员Ben Seri和Barak Hadad称：“这些漏洞可以使未经身份验证的攻击者接管Translogic PTS站，并基本上完全控制目标医院的 PTS 网络。” “这种类型的控制可能会导致复杂且令人担忧的勒索软件攻击，并允许攻击者泄露敏感的医院信息。”
气动管系统是内部物流和运输解决方案，用于将医院环境中的血液样本安全地运输到诊断实验室。
因此，成功利用这些问题可能导致敏感信息泄漏，使攻击者能够操纵数据，甚至破坏 PTS 网络以进行中间人 (MitM) 攻击并部署勒索软件，从而有效地停止医院的运作。
九个PwndPiper漏洞的详细信息
简而言之，这些缺陷——涉及权限提升、内存损坏和拒绝服务——可能被滥用来获得 root 访问权限、实现远程代码执行或拒绝服务，更糟糕的是，允许攻击者通过不安全的固件升级程序在受感染的PTS站上保持持久性，从而导致未经身份验证的远程代码执行。还值得注意的是，CVE-2021-37160的补丁暂未发布。
报告表示，气动管站(部署固件的地方)受到威胁的可能性取决于网络攻击者能够访问设施信息技术，同时通过利用这些漏洞造成额外损害。
可以采取哪些措施补救
强烈建议Translogic PTS 系统客户更新到最新固件(Nexus 控制面板版本 7.2.5.7)，以减轻在现实中利用这些缺点可能产生的任何潜在风险。
对于无法为 TransLogic PTS 安装最新固件更新的医院，Armis 提供以下步骤来防御潜在的 PwnedPiper 攻击：
阻止在 Translogic PTS 站上使用 Telnet(端口 23)(生产中不需要 Telnet 服务)
部署访问控制列表 (ACL)，其中 Translogic PTS 组件(站、鼓风机、转向器等)只允许与 Translogic 中央服务器 (SCC) 通信。
使用以下 Snort IDS 规则检测 CVE-2021-37161、CVE-2021-37162 和 CVE-2021-37165 的利用尝试：
alert udp any any -> any 12345 (msg:"PROTOCOL-OTHER Pwned piper exploitation attempt,
Too small and malformed Translogic packet"; dsize:
使用以下 Snort IDS 规则来检测 CVE-2021-37164 的利用尝试：
alert udp any any -> any 12345 (msg:"PROTOCOL-OTHER Pwned piper exploitation attempt,
Too large and malformed Translogic packet";dsize:>350; content:"TLPU";
depth:4; reference:cve,2021-37164; reference:url,https://www.armis.com/pwnedPiper; sid:9800001;)
除此之外，研究人员建议，通过使用网络分割加强对敏感系统(如PTS解决方案)的访问。
旧系统安全漏洞的噩梦
事实上，尽管Swisslogic Translogic PTS有多种版本，但它们都运行着一个已弃用的Linux 版本，基本上可以让攻击者“通过 root 不受限制地访问”，使他们能够“完全控制那个 Linux控制面板内的控制环境。
控制面板控制系统中的缺陷不仅使攻击者能够扰乱气动管道系统的功能，而且它也是其他医院系统的核心。这使得Swisslogic PTS “成为医疗 IT 健康系统环境中潜在的未受保护的恶意端点。
这项调查说明，那些在隐藏在现代医疗保健系统重要组成部分中的安全漏洞，无时不刻威胁着网络系统安全。复杂而又相对陈旧的医疗系统环境成为恶意软件的“温床”。对于医疗机构来说，恶意软件不仅影响着医院运营的基础设施，同时可以成为真正的“杀手”。
医疗机构的良好与否，不仅体现在能否妥善解决患者问题上，同时也体现在医疗保健环境是否安全上。减少系统安全漏洞是确保网络环境安全平稳运行的关键之一。数据显示，超6成的安全漏洞均与代码有关，因此 检测代码安全性尤其在软件开发过程中，不断检测修复代码缺陷，可以有效降低系统安全漏洞数，在提高软件安全性的同时不给网络犯罪分子可乘之机。
Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!