NVD / CVE Program· CNA BD

CVE-2022-22767: BD Pyxis™ Products – Default Credentials

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 35/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,42% (FIRST EPSS).
Может быть вызвана кем-либо из того же сегмента сети. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Specific BD Pyxis™ products were installed with default credentials and may presently still operate with these credentials. There may be scenarios where BD Pyxis™ products are installed with the same default local operating system credentials or domain-joined server(s) credentials that may be shared across product types. If exploited, threat actors may be able to gain privileged access to the underlying file system and could potentially exploit or gain access to ePHI or other sensitive information.

ВысокаяCVSS 8.8 · v3.1—Эксплойта нет Исправление не зафиксировано

BDU:2022-04761

Опубликовано: 2 июн. 2022 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,4 % · 36-й процентиль
CWE: CWE-262

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,4 %

Оценка CNA и NVD

NVD: 8,8
CNA · BD: 8,8; совпадают

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ПродуктВерсия

Вендор	Продукт	CPE
bd	pyxis anesthesia station es firmware	cpe:2.3:o:bd:pyxis_anesthesia_station_es_firmware
bd	pyxis anesthesia station es	cpe:2.3:h:bd:pyxis_anesthesia_station_es
bd	pyxis ciisafe firmware	cpe:2.3:o:bd:pyxis_ciisafe_firmware
bd	pyxis ciisafe	cpe:2.3:h:bd:pyxis_ciisafe
bd	pyxis logistics firmware	cpe:2.3:o:bd:pyxis_logistics_firmware
bd	pyxis logistics	cpe:2.3:h:bd:pyxis_logistics
bd	pyxis medbank firmware	cpe:2.3:o:bd:pyxis_medbank_firmware
bd	pyxis medbank	cpe:2.3:h:bd:pyxis_medbank
bd	pyxis medstation 4000 firmware	cpe:2.3:o:bd:pyxis_medstation_4000_firmware
bd	pyxis medstation 4000	cpe:2.3:h:bd:pyxis_medstation_4000
bd	pyxis medstation es firmware	cpe:2.3:o:bd:pyxis_medstation_es_firmware
bd	pyxis medstation es	cpe:2.3:h:bd:pyxis_medstation_es

и ещё 20

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

bd pyxis anesthesia station es firmwareвсе версии
bd pyxis ciisafe firmwareвсе версии
bd pyxis logistics firmwareвсе версии
bd pyxis medbank firmwareвсе версии
bd pyxis medstation 4000 firmwareвсе версии
bd pyxis medstation es firmwareвсе версии
bd pyxis medstation es server firmwareвсе версии
bd pyxis parassist firmwareвсе версии
bd pyxis rapid rx firmwareвсе версии
bd pyxis stockstation firmwareвсе версии
bd pyxis supplycenter firmwareвсе версии
bd pyxis supplyroller firmwareвсе версии
bd pyxis supplystation ec firmwareвсе версии
bd pyxis supplystation firmwareвсе версии
bd pyxis supplystation rf auxiliary firmwareвсе версии
bd rowa pouch packaging systems firmwareвсе версии

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (BD). Не зависят от анализа CPE в NVD и обычно опережают его.

Becton Dickinson (BD) BD Pyxis™ Anesthesia ES Station
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ CIISafe
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ Logistics
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ MedBank
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ MedStation™ 4000
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ MedStation™ ES
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ MedStation™ ES Server
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ ParAssist
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ Rapid Rx
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ StockStation
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ SupplyCenter
- All versionsзатронута
Becton Dickinson (BD) BD Pyxis™ SupplyRoller
- All versionsзатронута

Тот же продукт

bd: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2022-22766BD Pyxis Products - Hardcoded Credentials
22Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-22-0392 · 1 июн. 2022 г.(BD Pyxis Carelink Zafiyeti)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана кем-либо из того же сегмента сети.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Смежная сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-262 · Not Using Password Aging

Вектор CVSS

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

Журнал изменений

Изменений отслеживаемых полей пока нет. Здесь появятся изменения оценки, KEV, зрелости эксплойта и статуса исправления.

Источники

cybersecurity.bd.com/bulletins-and-patches/bd-pyxis-products-default-credentials

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: BD

CVE.org (CNA)16 сент. 2024 г., 16:42 UTC
NVD17 июн. 2026 г., 00:29 UTC
FIRST EPSS31 окт. 2026 г., 00:00 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.