脳波検査システム「Natus Xltek EEG」で使用するWindows用ソフトウェア「Natus NeuroWorks 8」で5件の脆弱性が発見されたそうだ(Talos Intelligence Group Blogの記事、 Ars Technicaの記事、 The Registerの記事)。

Natus Xltek EEGシステムはイーサネットポートを備えており、Natus NeuroWorks 8と組み合わせることで、リモートからの状況監視やデータ閲覧が可能となる。Cisco Talosチームが発見したのは、いずれもリモートから特別に細工したパケットを送り付けることで攻撃が可能となる脆弱性だ。4件はスタックベースのバッファーオーバーフローを引き起こして任意コード実行を可能にするもので、あとの1件は境界外読み取りによるアクセス違反を引き起こしてサービス拒否攻撃を可能にするものとなっている。Talosは昨年7月にNatusへ脆弱性の存在を通知しており、脆弱性を修正したNeuroworks 8.1 GMA2がリリースされているとのことだ。Talosでは影響を受けるシステムを使用している病院などに対し、できるだけ早く修正を適用するよう呼び掛けている。