對於市面上所有的 Aethon TUG 機器人，應針對 JekyllBot:5 資訊安全漏洞盡快進行系統修補，其中包含了 3 個通訊界面、2 個 API 以及一個 websocket 介面類型的漏洞。

文／Lucian Constantin‧譯／潘得龍

Aethon TUG 機器人（圖片來源：Aethon 官網）

近年來，一些企業組織開始陸陸續續採用物聯網（IoT）解決方案，以提供營運過程中需要重複且耗時工作的自動化能力，醫院自不例外。雖然機器人和其它設備可以舒緩寶貴的人力需求，同時提高效率，但也可能會出現企業組織之前從未處理過的風險。

不過日前 Aethon TUG 機器人所出現的 5 個嚴重資訊安全漏洞，明顯地突顯了資安風險問題。Aethon TUG 是一個自動化機器人，能夠在醫院建築物之間運送食物、藥品、實驗室採樣標本及其它需求用品。TUG 已經出貨至世界各地醫院，透過感測器與攝影鏡頭在走廊間進行導航，並可透過 Wi-Fi 無線網路，與電梯與電動門進行相互動作通知。

發現 JekyllBot:5 資訊安全漏洞

這些資訊安全漏洞是由醫療物聯網安全公司 Cynerio 研究人員，在與醫院客戶接觸的過程中發現，電梯網路流量有一些異常情況。這些資料流量會流入一個使用於監控與管理部署於醫院內部 TUG 機器人的企業內網入口，而內容包含了來自機器人所提供的影像資料以及地圖配置等。針對這個名稱為 TUG Home Base 伺服器的企業內網入口進行分析後，顯示出有 5 種不同的資訊安全問題和攻擊方式，研究人員稱之為 JekyllBot:5。

這個伺服器程式開啟了3 個通訊埠，一個是在 8081 通訊埠上執行 Web 的 API（v3)，還有 8080 通訊埠執行對機器人發送命令的 websocket，以及一個在標準 HTTP 通訊協定的 80 通訊埠執行 web 服務和舊版的 API（v2)。 研究人員在報告中指出，如果上述通訊埠中的後兩個（80 埠和 8080 埠）中的任何一個能夠被攻擊者所使用，那麼前述漏洞就可能會引起系統以及機器人被駭客完全接管。但攔阻這些通訊埠，還不足以抵抗 Cynerio Live 團隊所發現的最新資訊安全漏洞。

v2 API（80 通訊埠）在執行某些請求或是操作的時候，並不會正確地檢查授權，因而可能允許未經身分驗證的攻擊者，可新增具有管理權限的新用戶，或是逕行修改既有使用者的資料。

這第一個資訊安全漏洞的追蹤代號是 CVE-2022-1066，並被歸類至權限提升問題。在 CVSS 嚴重性量表的評分為最高 10 分當中的 8.2 分。 而在 v3 API（通訊埠 8081）中，則是另外發現了一個具有相同嚴重性，第二個追蹤代號為 CVE-2022-26423 的權限提升漏洞。這個漏洞會導致未經身分驗證的攻擊者可以存取使用者的密碼檔，然後採用暴力攻擊方法獲得密碼。 第三個追蹤代號 CVE-2022-1070（CVSS 等級 9.8 分）的嚴重漏洞，則是被放在 websocket 介面。這是因為 TUG Home Base 伺服器和機器人之間的身分驗證不正確所導致，這將導致騙過身分驗證的攻擊者，能夠連線到伺服器，並且完全控制機器人。

Cynerio 的研究人員在報告中指出，在極端的情況下，這種未經授權的存取，可以讓攻擊者操控機器人說出未經授權或是辱罵性的語句，騷擾患者和工作人員、控制或關閉智慧型零售店及電動門、干擾危害患者或手術進行，甚至擅自變更藥品的數量。 攻擊者還能透過機器人的拍照和錄影功能，進一步監控患者或工作人員。

由於企業內網入口網路可以透過虛擬操控桿控制機器人，因此攻擊者可能利用機器人撞擊無辜人員，或是其它敏感的醫療設備。 第四跟第五，最後兩個漏洞，CVE-2022-27494 和 CVE-2022-1059，可以藉由企業內網入口的 web 介面，透過跨站指令碼（XSS）執行攻擊活動。其中一種方式，是允許攻擊者將惡意 JavaScript 程式碼注入到 Fleet Management 控制台中的選項目錄當中。當觸發程式碼之後，會執行通過身分驗證用戶的瀏覽器。

這類型的攻擊，可能會讓攻擊者劫持管理者的網路連線階段，然後將惡意軟體注入至使用者的瀏覽器，對相關設施的 IT 網路與基礎設施執行更進一步的攻擊。 雖然 TUG Home Base 伺服器的目的是透過區域網路進行存取動作，但 Cynerio 團隊發現在伺服器上有幾個實例（instance），會直接對外暴露到公開的網際網路上，並逕行通知控制它們的駭客。

修復 JekyllBot:5 資安漏洞

Cynerio 團隊與機器人製造商 Aethon，以及美國網路安全與基礎架構安全局（U.S. Cybersecurity and Infrastructure Security Agency, CISA）密切合作，以妥善地處理這些資訊安全漏洞。供應商已發布了軟體和韌體修補，解決相關的資訊安全問題。但這些漏洞仍可能會影響第 24 版之前的所有機器人版本。 研究人員指出，每個向 Aethon 採購的醫院機器人，都已經安裝了這些修補軟體，其中一個主要的修補方法，還需要更換韌體，並進行作業系統的更新。

此外，Aethon 能夠更新目前已知容易受到攻擊的機器人相關醫院的防火牆，以便在推出修復程式之前，及時阻止透過位於外部公眾網路的醫院 IP 位址接觸到機器人。 [ 加入 CIO Taiwan 官方 LINE 與 Facebook ，與全球CIO同步獲取精華見解 ] 醫療照護領域的網路安全研究，主要集中在直接與病人接觸以及藥物的使用，以及核磁共振和其它類型的掃瞄儀器設備上。這些設備的癱瘓或是濫用，都有可能會對患者的生命產生負面的影響。

正如本文以及其它相關報告所指出的，醫院內部的後勤工作，像是物品的傳送，一定會朝自動化發展，以降低人力的負擔和錯誤。然而，這類系統的癱瘓，也會嚴重影響醫院的運作，以及對緊急情況的因應能力。像 2021 年來自 Armis 的研究人員就發現，在醫院普遍使用的風管輸送系統（pneumatic tube system, PTS）存在著嚴重缺陷。而風管輸送系統目前常被使用於醫院不同部門之間傳送一些敏感性的材料，包括實驗室的檢驗標本、血液製品、試劑以及藥品等。