Medtronic MiniMed 508 and Paradigm Series Insulin Pumps Improper Access Control
Medtronic MiniMed Insulin Pumps are designed to communicate using a wireless RF with other devices, such as blood glucose meters, glucose sensor transmitters, and CareLink USB devices. This wireless RF communication protocol does not properly implement authentication or authorization. An attacker with adjacent access to one of the affected insulin pump models can inject, replay, modify, and/or intercept data. This vulnerability could also allow attackers to change pump settings and control insulin delivery.
- Yayın
- 28 Haz 2019
- Güncelleme
- 16 Haz 2026
- EPSS
- %1,2 · 68. yüzdelik
- CWE
- CWE-284
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
28
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 28 / 40 · 7.1 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %1,2
CNA ile NVD puanı
- NVD
- —
- CNA · icscert
- 7,1
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| medtronic | minimed 508 firmware | cpe:2.3:o:medtronic:minimed_508_firmware |
| medtronic | minimed 508 | cpe:2.3:h:medtronic:minimed_508 |
| medtronic | minimed paradigm 511 firmware | cpe:2.3:o:medtronic:minimed_paradigm_511_firmware |
| medtronic | minimed paradigm 511 | cpe:2.3:h:medtronic:minimed_paradigm_511 |
| medtronic | minimed paradigm 512 firmware | cpe:2.3:o:medtronic:minimed_paradigm_512_firmware |
| medtronic | minimed paradigm 512 | cpe:2.3:h:medtronic:minimed_paradigm_512 |
| medtronic | minimed paradigm 712 firmware | cpe:2.3:o:medtronic:minimed_paradigm_712_firmware |
| medtronic | minimed paradigm 712 | cpe:2.3:h:medtronic:minimed_paradigm_712 |
| medtronic | minimed paradigm 712e firmware | cpe:2.3:o:medtronic:minimed_paradigm_712e_firmware |
| medtronic | minimed paradigm 712e | cpe:2.3:h:medtronic:minimed_paradigm_712e |
| medtronic | minimed paradigm 515 firmware | cpe:2.3:o:medtronic:minimed_paradigm_515_firmware |
| medtronic | minimed paradigm 515 | cpe:2.3:h:medtronic:minimed_paradigm_515 |
ve 26 kayıt daha
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- medtronic minimed 508 firmwaretüm sürümler
- medtronic minimed paradigm 511 firmwaretüm sürümler
- medtronic minimed paradigm 512 firmwaretüm sürümler
- medtronic minimed paradigm 515 firmwaretüm sürümler
- medtronic minimed paradigm 522 firmwaretüm sürümler
- medtronic minimed paradigm 522k firmwaretüm sürümler
- medtronic minimed paradigm 523 firmware2.4a dahil
- medtronic minimed paradigm 523k firmware2.4a dahil
- medtronic minimed paradigm 712 firmwaretüm sürümler
- medtronic minimed paradigm 712e firmwaretüm sürümler
- medtronic minimed paradigm 715 firmwaretüm sürümler
- medtronic minimed paradigm 722 firmwaretüm sürümler
- medtronic minimed paradigm 722k firmwaretüm sürümler
- medtronic minimed paradigm 723 firmware2.4a dahil
- medtronic minimed paradigm 723k firmware2.4a dahil
- medtronic minimed paradigm veo 554 firmware2.6a dahil
- medtronic minimed paradigm veo 554cm firmware2.7a dahil
- medtronic minimed paradigm veo 754 firmware2.6a dahil
- medtronic minimed paradigm veo 754cm firmwaretüm sürümler
Üreticinin bildirdiği sürümler
Kaydı açan otorite (icscert) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Medtronic MiniMed 508 pump
- All versionsetkilenir
Medtronic MiniMed Paradigm 511 pump
- All versionsetkilenir
Medtronic MiniMed Paradigm 512/712 pumps
- All versionsetkilenir
Medtronic MiniMed Paradigm 515/715 pumps
- All versionsetkilenir
Medtronic MiniMed Paradigm 522/722 pumps
- All versionsetkilenir
Medtronic MiniMed Paradigm 522K/722K pumps
- All versionsetkilenir
Medtronic MiniMed Paradigm 523/723 pumps
- Software Versions 2.4A dahil öncesietkilenir
Medtronic MiniMed Paradigm 523K/723K pumps
- Software Versions 2.4A dahil öncesietkilenir
Medtronic MiniMed Paradigm 712E pump
- All versionsetkilenir
Medtronic MiniMed Paradigm Veo 554/754 pumps
- Software Versions 2.6A dahil öncesietkilenir
Medtronic MiniMed Paradigm Veo 554CM/754CM pumps
- Software Versions 2.7A dahil öncesietkilenir
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- Based on earlier work performed by external researchers including Nathanael Paul, Jay Radcliffe, and Barnaby Jack, andrecent work performed by external researchers Billy Rios, Jonathan Butts, anbulan
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
Gece hesaplanan ilişki yok.
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- Aynı ağ bölümündeki biri tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Başarılı olursa
- Gizlilik
- düşük · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Bitişik ağ
- Karmaşıklık
- Yüksek
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Düşük
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-284 · Improper Access ControlCVSS vektörü
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:H
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
- Embedding Scripts within ScriptsCAPEC-19olasılık: High · High
- Malicious Logic InsertionCAPEC-441olasılık: Medium · High
- Modification of Windows Service ConfigurationCAPEC-478olasılık: Low · High
- Malicious Root CertificateCAPEC-479olasılık: Low · Low
- Intent SpoofCAPEC-502
- WebView ExposureCAPEC-503
- Data Injected During ConfigurationCAPEC-536olasılık: Low · High
- Incomplete Data Deletion in a Multi-Tenant EnvironmentCAPEC-546olasılık: Low · Medium
ATT&CK teknikleri
- RootkitT1014
- Obfuscated Files or Information: Embedded PayloadsT1027.009
- Boot or Logon Initialization ScriptsT1037
- Taint shared contentT1080
- Server Software Component: Terminal Services DLLT1505.005
- Pre-OS Boot:BootkitT1542.003
- Create or Modify System ProcessT1543
- Create or Modify System Process: Launch AgentT1543.001
- Create or Modify System Process:Windows ServiceT1543.003
- Create or Modify System Process: Launch DaemonT1543.004
- Event Triggered Execution:Change Default File AssociationT1546.001
- Event Triggered Execution:.bash_profile and .bashrcT1546.004
- Event Triggered Execution: Accessibility FeaturesT1546.008
- Event Triggered Execution: Installer PackagesT1546.016
- Boot or Logon Autostart ExecutionT1547
- Boot or Logon Autostart Execution:Kernel Modules and ExtensionsT1547.006
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.
Referanslar
- www.securityfocus.com/bid/108926
- global.medtronic.com/xg-en/product-security/security-bulletins/minimed-508-paradigm.html
- www.cisa.gov/news-events/ics-medical-advisories/icsma-19-178-01
- www.us-cert.gov/ics/advisories/icsma-19-178-01
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.