CVE-2016-9355

概要

Becton, Dickinson and Company（BD）製 Alaris 8015 Point of Care（PC）ユニット、バージョン 9.5 およびそれ以前のバージョン、ならびにバージョン 9.7 において、問題が発見されました。Alaris 8015 PC ユニットへの物理的なアクセス権を持つ不正ユーザーが、Alaris 8015 PC ユニットを分解してデバイスのフラッシュメモリにアクセスすることにより、暗号化されていない無線ネットワーク認証情報やその他の機密性の高い技術データを取得できる可能性があります。Alaris 8015 PC ユニットの旧ソフトウェアバージョン（バージョン 9.5 およびそれ以前のバージョン）では、無線ネットワーク認証情報やその他の機密性の高い技術データが、影響を受けるデバイスの取り外し可能なフラッシュメモリに保存されています。影響を受けるデバイスからフラッシュメモリを取り外すことができるため、検知のリスクが軽減され、攻撃者は自分の都合の良いときに保存されたデータを抽出することができます。

• bd-alaris-firmware-analysis研究

  BD Alaris 8015輸液ポンプ（CVE-2016-9355）のファームウェアセキュリティ解析。平文のWi-Fi認証情報、HTTPによるファームウェア更新、無効化された整合性チェックを含む6つの複合脆弱性を特定。STRIDE脅威モデリングとMITRE Playbookの検証。