Illumina设备漏洞警告：务必立即应用软件补丁

重点摘要

Illumina于上月发布的一款针对特定设备的补丁必须“立即下载和安装”。根据对医疗界的通知，这次软件更新修复了多款设备中的关键缺陷，可能对患者安全构成威胁。

CISA在6月2日发布了有关特定Illumina体外诊断设备和仅供研究使用（ROU）仪器的漏洞警报。详细列出了这些设备中的漏洞，这些平台依赖于LocalRun Manager (LRM)软件，而LRM中存在多项高风险漏洞。

Illumina已向其医疗客户发布了软件更新。由于医疗行业通常在方面存在挑战，因此FDA与CISA的警告应促使受影响的Illumina产品优先处理。

以下是LRM中的主要安全漏洞概述：

漏洞数量 | 严重等级 | 描述
—|—|—
5 | 10.0 | 执行不必要权限，黑客可利用该缺陷远程上传和执行代码
1 | 9.1 | LRM未默认进行身份验证或授权
1 | 7.4 | LRM版本未实施TLS加密

LRM中的10.0级漏洞包括“执行不必要的权限”，这表明LRM使用了提升的权限。CISA警告说，未经身份验证的威胁者可能利用这一缺陷“在操作系统级别上传和执行代码”。

成功的攻击将使攻击者能够“更改受影响产品的设置、配置、软件或访问敏感数据”，或“访问并通过网络与不应公开的API进行交互”。

另一个10.0级漏洞源于路径不当限制，允许黑客在意外目录结构之外上传内容。此外，LRM不限制可以上传的文件类型，这意味着攻击者可以上传任何文件类型，包括允许远程代码利用的可执行代码。

FDA警告称，成功利用这些漏洞可能影响“用于临床诊断的仪器的患者测试结果，包括导致仪器未提供结果或提供错误结果、变更结果或潜在的数据泄露”。

CISA还建议医疗机构采取防御措施以防止可能的利用，包括： – 最小化所有控制系统设备的网络暴露 – 在防火墙后隔离远程设备和系统，并与业务网络分离
– 在需要远程访问时采用安全的方法

值得庆幸的是，Illumina和FDA尚未收到报告表明该漏洞已被实际利用。两者正在与CISA协调，以防止和沟通任何与该漏洞相关的不良事件。如果有任何新信息，FDA会及时通知提供者。

医疗提供者应审查Illumina在5月3日发送的紧急安全通知或产品质量通知，或在使用受影响的产品且未收到通知的情况下联系制造商。