35萬臺 ICD 和心臟起搏器存在多個致命缺陷
責編：gltian ｜2018-05-10 09:59:59Abbott 已召回約35萬臺可植入性心室去顫器進行固件更新，原因是這些設備被指包含威脅生命的缺陷并易遭利用。
Abbott 公司（此前被稱為 St. Jude Medical）已召回大量此類設備修復該缺陷并保護病患免遭被黑心臟起搏器帶來的危險。
漏洞早在2014年就存在
據報道，Abbott 公司的一些可植入心臟除顫器（ICD，也被稱為心臟再同步治療除顫器 CRT-D）也將進行固件升級。通過升級，這些設備（或我們通常稱之為心臟起搏器）將提供更好的防護措施，抵御黑客攻擊以及未授權訪問，且約46.5萬名病患將免遭生命威脅。
去年，安全研究員 MedSec 和 Muddy Waters 從 Abbott 心臟起搏器中找到了多個漏洞，但公司并未理會這些研究發現，并起訴研究員侵犯公司的名譽權。
然而，美國食品和藥物管理局 (FDA) 發布的報告且隸屬美國國土安全部的 ICS-CERT 發布的安全公告都支持研究人員的研究成果，從而為 Abbott 施壓修復漏洞。最終，Abbott 別無選擇，只能開始發布固件更新并發布自愿召回。FDA 報告披露稱 Abbott 公司在2014年起就已經意識到其生產的心臟起搏器中存在多個問題。
固件升級后，除了醫生，沒有人能夠在心臟起搏器中部署變化。該更新已獲得 FDA 的批準并含有有效的修復方案以及安全更新。固件升級后，設備能夠檢測出電池耗電速度是否快于預期，并且將把相關情況通知給病患。
Abbott 在網站上表示已經為其可植入設備、遠程監控系統以及程序員做出了一系列更新計劃。心臟起搏器修復是這個原定于2017年的計劃的首項內容。2017年，研究人員表示 ICDs 受多個安全缺陷的困擾，可能帶來災難性后果。Abbott 公司要求病患在完成植入流程前與醫生取得聯系。
漏洞可致病患死亡
由 Abbott 公司開發的心臟起搏器中存在的這個問題和硬編碼解鎖代碼相關。如果該代碼被黑客識別出來，那么獲得對所有易受攻擊設備的后門權限將非常容易。Merlin@home 發射器也被指易受中間人攻擊。如果黑客結合使用這兩種漏洞，那么就能發送來自 Merlin@home 發射器的命令來操控植入并制造可能引發病患死亡的心血管問題。
Abbott 公司聲稱尚未發現針對其心臟起搏器遭黑客利用的報告或者有人獲得對植入設備的未經授權的訪問權限。黑客要獲得更新的一個要求是訪問辦公室但更新進程本身并不具入侵性。就像 Abbott 公司解釋得那樣，“在升級過程中，將會在 ICD 或 CRT-D 上放置能向設備傳輸信息的信標。在流程結束時，會審查設備的最終設置以確保已成功完成更新。升級流程大概需要三分鐘完成。”
Abbott 公司建議病患咨詢醫生以獲得最佳更新。截至目前，已在設備上執行了近5萬個固件更新，同時，FDA 和 Abbott 公司也都證實稱目前尚未出現任何問題。