关键漏洞信息 1. 漏洞概述 CVE编号: CVE-2018-5466, CVE-2018-5468, CVE-2018-5499 厂商: Medtronic 受影响设备: 2090 CareLink Programmer, 29901 Encore Programmer 漏洞类型: - 存储密码以可恢复格式 (CVE-2018-5466) - 相对路径遍历 (CVE-2018-5468) - 通信通道到预期端点的不当限制 (CVE-2018-5499) 2. 风险评估 成功利用这些漏洞可能允许具有物理访问权限的攻击者从2090编程器中获取产品凭据，从而访问软件部署网络。 成功利用这些漏洞还可能允许具有本地网络访问权限的攻击者影响编程器和软件部署网络之间的通信。 3. 技术细节 存储密码以可恢复格式: 设备使用每个产品的用户名和密码，并以可恢复格式存储。CVSS v3基本分数为4.9。 相对路径遍历: 软件部署网络包含目录遍历漏洞，允许攻击者在系统上读取文件。CVSS v3基本分数为4.8。 通信通道到预期端点的不当限制: 产品使用虚拟专用网络连接安全下载更新，但不验证其是否仍连接到此虚拟专用网络。CVSS v3基本分数为7.1。 4. 影响的产品 2090 CareLink Programmer, 所有版本 29901 Encore Programmer, 所有版本 5. 缓解措施 维护良好的物理控制以保护编程器。 仅将编程器连接到受管、安全的网络。 在Medtronic发布更新时更新编程器上的软件。 如果不需要网络连接，则断开编程器与网络的连接。 可用离线更新，请联系您的Medtronic代表以获取更多信息。