北米で主要な病院の 80 % が使用する気送管システムに脆弱性 25
脆弱性 部門より
北米では主要な病院の 80 % が使用しているという Swisslog Healthcare の気送管システム TransLogic Pneumatic Tube System (PTS) で見つかった一連の脆弱性「PwnedPiper」について、発見者の Armis が解説している(Armis のリポート、 Swisslog Healthcare のアドバイザリー、 The Register の記事、 Softpedia の記事)。
日本ではエアシュートなどとも呼ばれる気送管システムは、空気圧をかけたパイプのネットワークで物品を格納したパケットを送る仕組み。かつては人力によるルーティングが行われていたが、現代的なシステムは IP ネットワークに接続され、コンピューターにより制御が行われる。
TransLogic PTS の脆弱性は制御用の Linux デバイス Nexus Control Panel に存在し、検証なしのファームウェア更新 (CVE-2021-37160) や、リモートからのコード実行または DoS が可能となるメモリ破損の脆弱性 (CVE-2021-37161 / 37162 / 37164 / 37165 / 37166)、ハードコードされた Telnet パスワード (CVE-2021-37163)、特権昇格の脆弱性 (CVE-2021-37167) といったもの。Armis は 9 件の脆弱性と述べているが、CVE-ID が割り当てられた脆弱性は 8 件となっている。全ての脆弱性は認証されていないネットワークパケットを送るだけで引き起こすことが可能で、ユーザーの操作は必要ないとのこと。
これらの脆弱性を悪用することで、攻撃者は送り先の変更や速度の変更といった攻撃が可能だ。血液製剤など低速で送るべき物品を高速で送ってしまうと、患者に被害が及ぶ可能性もある。また、PTSのユーザー認証システム WhoTube に登録されたスタッフの認証情報取得や病院のコミュニケーションソリューションに統合された PTS のアラートシステム悪用による業務妨害、ランサムウェア攻撃なども可能になる。
脆弱性のほとんどはファームウェアバージョン 7.2.5.7 で修正されているが、CVE-2021-37160 だけは修正されていないという。Armis ではパッチの適用のほか、Telnet のブロックや ACL のデプロイ、Snort による攻撃検知といった対策を推奨している。
タレコミ文に目(?)が混乱する (スコア:5, 興味深い)
分かってて読んでるつもりだけど、単語だけザーッと拾うような流し見が習慣になっているとこんがらがりますね。
(…と、いうことを狙ってるタレコミですよねっ?)
なんかこう、レトロニム的な単語で置き換えられていれば混乱しないんでしょうけど。
Re:タレコミ文に目(?)が混乱する (スコア:2)
「パイプをつないで作られたネットワークで…」
「えっ、シェルスクリプトなの?」
うじゃうじゃ
Re: (スコア:0)
「パイプをつないで作られたネットワークで…」
「えっ、シェルスクリプトなの?」
pythonにもありますがな(へびだけに)
https://docs.python.org/ja/3/library/multiprocessing.html#pipes-and-queues [python.org]
まあ、スクリプト言語だけども
Re: (スコア:0)
日本語だと,古い概念は感じで,新しい概念はカタカナで,という使い分けが感覚的に理解されやすいかも。
空気圧をかけた管路網で物品を格納した容器を送る仕組み。かつては人力による経路制御が行われていたが、現代的なシステムは IP ネットワークに接続され、コンピューターにより制御が行われる。
エアシューター (スコア:2)
1(フロント)対多(客室)だけどラブホテルの精算用エアシューターもそうですね。
真っ先に思いつきそうなのに未登場なのは古いホテルにしかないから?
市場占有率80%とはこれまたすごいな (スコア:0)
日本では以前こんな感じの
http://www.hospital.yao.osaka.jp/about/outline/svstem/413/ [osaka.jp]
リニアモータ駆動のモノレール的なやつが流行ってたんですよね。かっこいい。リンク先は跨座式ですけど、懸垂式のもありました。気送管と違ってカルテを丸めずにファイルのまま送れる。
カルテが電子化されてからは気送管に回帰してるみたいですね。リニアモータ搬送システムは大掛かりだもんね。
Re: (スコア:0)
需要が少ないと一社を支えるのが精々で破壊的イノベーションが起きるまで寡占が続く。
その一社はそれ一本だから細々としたノウハウがあって他社の参入が難しい。
しかし目が十分でないから初歩的な脆弱性・欠陥・不正が残っていたり。
ところでACさん初期スコア0に戻ったのね。
Re: (スコア:0)
リニアモーター駆動ではなかったと思いますが、モノレール型の小型搬送機は「シマコム」という商品名で少し大きな病院にはたいていありましたね。
うちの会社は病院ではないですが、二十年ぐらい前までフロア間での社内文書のやり取りに使ってました。撤去費用がかなりかかるそうで、今でもレールだけ残ってます。
どうやって見つけたの? (スコア:0)
この手の機器は、限られた人しか入手したり触ったりすることはできないと思うけど、
発見者はどうしてこんなものを見つけることになったんだろう。関係者から依頼でも
あったんだろうか。
Re:どうやって見つけたの? (スコア:1)
ラブホテルでフロントに送ったお金をどうにか回収しようと智慧を巡らせたのでは
伝声管 (スコア:0)
くだものは、伝声管の方がイメージしやすいな。
日本のFAXはあれだか馬鹿にされるのに (スコア:0)
米国の気送管システムはどうなのか?
Re:日本のFAXはあれだか馬鹿にされるのに (スコア:2)
検体とか薬剤とか別の部署に送ったりするから、大きな病院だとこういうシステムが今後も残ると思いますよ。
もう何年かすると自走式ロボットやドローンに置き換わるかもしれませんが。
Re: (スコア:0)
検体を他のとこに送るのはトラブルの元なんで採るとこと検査するとこのは隣接するのが普通。検査数の多い大きな病院ほどね。
使いどころとしては使用頻度の低い物、管理が面倒な物だと思う。
Re:日本のFAXはあれだか馬鹿にされるのに (スコア:1)
社内便に比べればスマート?
Re: (スコア:0)
流石に人間を送るのはやめたので合理的な考えが身についているかなと。
古い映画でよく見る (スコア:0)
アメリカの古い映画だと、オフィスビルに気送管が出てくるが、
あれが現役でつかわれてるとはおもわなかった
搬送ロボットとかに変更できないのかな?
Re:古い映画でよく見る (スコア:1)
勤務先の病院にもありますよ。
エアシューターと言う名前で。
平成になってから改築なんですが、「古い」んでしょうね。
過去(30年以上前)には競艇場で使われていたのを見ています。
Re:古い映画でよく見る (スコア:1)
行きつけの病院(かなり大きい総合病院)では、通い始めた頃(30年ぐらい前)はエアシューターが現役でがんがん使われてたんですが、
その後、時々「エアシューター不調のため使用しないでください」って院内放送を聞くようになり、
そのうち完全に壊れたのかエアシューターを全く使わなくなりました。事務員さん?がワゴンを押して巡回するように。
で、10年ぐらい前に新築移転したんですが、新しい建物にはエアシューターはありません。
Re:古い映画でよく見る (スコア:1)
前世紀末、総合病院で院内情報システム導入を担当していましたが、エアシューターとかも入れたいね、なんていう話が医療部門から出てました。
で、ロボットみたいなやつとか、いろいろ話題になったけど金が無くて、入れてませんね(おそらく、人件費の安いところでは人が持ち歩くのが柔軟で使いやすいかと・・)。
カルテに関しては、全自動で分類保存から出庫までやってくれるロボット倉庫みたいなのがありまして、市内の他の病院に視察して見せてもらったことがあります。
電子カルテが普及して、ああいうのどうなったんでしょうね。
Re: (スコア:0)
日本でもコストコのレジから現金送る管が天井に伸びてるじゃない
一定額になると目の前で札束数えだして待ってる客をイライラさせるやつだよ
Re: (スコア:0)
最新のすし屋でも新幹線走らなくなったしな
Re: (スコア:0)
馬鹿だな。搬送システム自体が不要になってく中で残ってるってだけで数は増えてない。
IPネットワークに接続されって (スコア:0)
エアシューターのパケットをどう変換しているのか凄く興味深い。