Firmware-Sicherheitsanalyse der BD-Alaris-8015-Infusionspumpe (CVE-2016-9355). Identifizierte 6 zusammengesetzte Schwachstellen, darunter Klartext-WLAN-Anmeldeinformationen, HTTP-Firmware-Updates und deaktivierte Integritätsprüfungen. STRIDE-Bedrohungsmodellierung und MITRE-Playbook-Validierung.
Firmware-Sicherheitsanalyse der BD Alaris 8015 PC-Einheit: Unverschlüsselte Speicherung von WLAN-Anmeldedaten und zusammengesetzte Schwachstellen (CVE-2016-9355)
-orange){kind=icon}
Dieses Projekt präsentiert eine Firmware-Sicherheitsanalyse der BD Alaris 8015 Point-of-Care (PC) Infusionspumpe, mit Fokus auf CVE-2016-9355 – eine Schwachstelle, die die Extraktion unverschlüsselter WLAN-Anmeldedaten aus dem NAND-Flash-Speicher des Geräts ermöglicht.
Kurs: CY 7790 - Medical Device Cybersecurity
Professor: Kevin Fu (Ehemaliger Acting Director, Medical Device Cybersecurity bei der FDA)
Institution: Northeastern University
Team: Kalyan, Varun, Abisath, Arafat
Das Gerät speichert drahtlose Netzwerkanmeldedaten in Klartext-XML-Dateien auf dem NAND-Flash, einschließlich:
| Schwachstelle | Schweregrad | Beschreibung |
|---|---|---|
| HTTP-Firmware-Updates | Hoch | Der Update-Kanal verwendet unverschlüsseltes HTTP mit ausschließlicher MD5-Integrität |
| Deaktivierte CRC-Überprüfung | Hoch | OSE.ELF (Hauptanwendung) startet ohne Integritätsprüfung (CRC=0xFFFFFFFF) |
| ProFTPD 1.3.3g (3 CVEs) | Mittel | CVE-2011-4130, CVE-2010-4221, CVE-2010-3867 |
| Nicht authentifiziertes PPP | Mittel | PPP ohne PAP/CHAP-Authentifizierung konfiguriert |
| ValidateServerCert=false | Mittel | PEAP-Profile anfällig für Evil-Twin-RADIUS-Angriffe |
| DNS-Entführungsvektor | Mittel | Nicht qualifizierter Hostname 'natasha' ermöglicht Firmware-Umleitung |
| Komponente | Details |
|---|---|
| Prozessor | Atmel AT91SAM9G20 (ARM926EJ-S @ 400MHz) |
| Speicher | 32 MB SDRAM, 64 MB NAND Flash |
| WLAN-Modul | Laird WB40N (Broadcom BCM4329) |
| RTOS | ENEA OSE 4.5.2/4.6.1 |
| Haupt-Binärdatei | OSE.ELF (7,86 MB ARM ELF) |
/etc/summit/[Profilname].xml
/PSK/Passphrase/text() /Password/text() /PEAP/Identity/text() /EAPTLS/PrivateKeyPassphrase/text() /EAPTLS/UserCertPassphrase/text() /AES/Key/text()
| Kategorie | Bedrohung | Auswirkung |
|---|---|---|
| Identitätsvortäuschung | Gestohlenes WLAN-PSK wird verwendet, um sich mit dem Krankenhausnetzwerk zu verbinden | Netzwerkkompromittierung |
| Manipulation | HTTP-Firmware-Kanal ermöglicht bösartige Updates | Gerätekompromittierung |
| Abstreitbarkeit | Deaktivierte CRC hinterlässt keine Prüfspur | Nicht erkennbare Manipulation |
| Informationsoffenlegung | CVE-2016-9355 Extraktion von Klartext-Anmeldedaten | Diebstahl von Anmeldedaten |
| Dienstverweigerung | ProFTPD-Stack-Überlauf (CVE-2010-4221) | Dienstabsturz |
| Rechteausweitung | Domänenanmeldedaten ermöglichen laterale Bewegung | Krankenhausweiter Einbruch |
| Bedrohung | Gegenmaßnahme | Status |
|---|---|---|
| Klartext-Anmeldedaten | AES-Verschlüsselung mit hardwaregebundenem Schlüssel (HKDF aus GUID) | Behoben in v9.5+ |
| HTTP-Firmware-Updates | HTTPS + RSA/ECDSA-Code-Signierung | Nicht behoben |
| MD5-Integrität | SHA-256 + signiertes Manifest | Nicht behoben |
| Deaktivierte OSE.ELF-CRC | SHA-256-Überprüfung beim Booten | Nicht behoben |
| ProFTPD-Schwachstellen | Aktualisierung auf 1.3.8 oder Deaktivierung des Dienstes | Nicht behoben |
Diese Forschung wurde zu akademischen Zwecken im Rahmen des Kurses Medical Device Cybersecurity an der Northeastern University durchgeführt. Alle Analysen wurden ausschließlich an Firmware-Images durchgeführt – es wurde auf keine physischen Geräte zugegriffen. Gezeigte Anmeldedatenbeispiele sind fiktiv und dienen nur zu Demonstrationszwecken.
Autor: Mohammed Arafat Nadaf
GitHub: github.com/nadafarafat
LinkedIn: linkedin.com/in/arafatnadaf
