CVE-2016-9355

总结

在Becton, Dickinson and Company（BD）Alaris 8015床旁监护（PC）单元（版本9.5及更早版本，以及版本9.7）中发现一个问题。未经授权的用户若能物理接触Alaris 8015 PC单元，可通过拆卸该单元并访问设备的闪存，获取未加密的无线网络认证凭据及其他敏感技术数据。Alaris 8015 PC单元的旧版软件（版本9.5及更早版本）将无线网络认证凭据及其他敏感技术数据存储在受影响设备的可移动闪存中。能够从受影响设备上移除闪存降低了被检测的风险，使攻击者可以在方便时提取存储的数据。

• bd-alaris-firmware-analysis研究

  BD Alaris 8015输液泵固件安全分析（CVE-2016-9355）。识别出6个复合漏洞，包括明文Wi-Fi凭据、HTTP固件更新和禁用完整性检查。STRIDE威胁建模和MITRE Playbook验证。