Sikkerhedsforskere har afsløret kritiske printersårbarheder i Xerox VersaLink C7025 multifunktionsprintere (MFP'er). Disse fejl kan gøre det muligt for angribere at fange autentificeringsoplysninger via pass-back angreb ved hjælp af Lightweight Directory Access Protocol (LDAP) og SMB/FTP-tjenester.
Oversigt over sårbarhederne
Deral Heiland, en sikkerhedsforsker hos Rapid7, forklarede, at disse pass-back-angreb udnytter en sårbarhed, der gør det muligt for en ondsindet aktør at ændre MFP'ens konfiguration. Som et resultat, enheden kan manipuleres til at sende autentificeringsoplysninger tilbage til angriberen.
Hvad er et pass-back-angreb?
Et pass-back-angreb er et cyberangreb, hvor en angriber manipulerer et systems konfiguration for at omdirigere godkendelsesoplysningerne tilbage til sig selv. Dette gøres typisk ved at ændre netværksindstillingerne, så når en enhed, såsom en printer eller server, forsøg på at autentificere mod en lovlig tjeneste (f.eks, LDAP, SMB, eller FTP), det sender i stedet legitimationsoplysningerne til en angriber-kontrolleret server. En gang fanget, disse legitimationsoplysninger kan bruges til at få uautoriseret adgang til systemer, potentielt tillader lateral bevægelse inden for et netværk for at kompromittere følsomme data og infrastruktur.
Heiland bemærkede, at hvis en angriber med succes udnytter disse sårbarheder, de kunne fange Windows Active Directory-legitimationsoplysninger. Denne adgang ville så give dem mulighed for at bevæge sig sideværts inden for en organisations netværk, potentielt kompromittere kritiske Windows-servere og filsystemer.
De identificerede sårbarheder, påvirker firmwareversioner 57.69.91 og tidligere, omfatter:
– CVE-2024-12510 (CVSS-score: 6.7) – Pass-back angreb via LDAP
– CVE-2024-12511 (CVSS-score: 7.6) – Pass-back angreb via brugerens adressebog
Påvirkning og udnyttelse
Udnyttelsen af CVE-2024-12510 kunne gøre det muligt at omdirigere godkendelsesoplysninger til en useriøs server, derved afsløre følsomme oplysninger. Men, at udføre dette angreb kræver, at angriberen får adgang til LDAP-konfigurationssiden, og at LDAP-godkendelse er i brug.
Tilsvarende, CVE-2024-12511 kunne tillade en angriber at ændre brugeradressebogens konfiguration for at ændre SMB- eller FTP-serverens IP-adresse. Denne ændring ville omdirigere godkendelsesprocessen til en ondsindet server, gør det muligt for angriberen at fange SMB- eller FTP-legitimationsoplysninger under filscanningsoperationer.
Heiland understregede, at dette angreb skulle virke, angriberen skal bruge en SMB- eller FTP-scanningsfunktion for at blive konfigureret i brugerens adressebog. Desuden, angriberen ville kræve enten fysisk adgang til printerkonsollen eller fjernadgang via webgrænsefladen. I nogle tilfælde, administrativ adgang kan være nødvendig, medmindre brugerniveauadgang til fjernbetjeningskonsollen er blevet aktiveret.
Afbødning og patching
Efter ansvarlig offentliggørelse vedr Marts 26, 2024, Xerox adresserede disse sårbarheder i Service pakke 57.75.53, udgivet i sidste måned til VersaLink C7020, 7025, og 7030 serie printere.
For organisationer, der ikke er i stand til at anvende patchen med det samme, følgende sikkerhedsforanstaltninger anbefales:
- Indstil a kompleks adgangskode for administratorkontoen.
- Undgå at bruge Windows-godkendelseskonti med forhøjede rettigheder.
- Deaktiver fjernbetjeningskonsollen adgang for uautoriserede brugere.
Sårbarhederne i Xerox VersaLink MFP'er og HealthStream MSOW fremhæver stigende risici forbundet med netværkstilsluttede enheder og virksomhedssoftware, understreger behovet for løbende overvågning og proaktive sikkerhedsforanstaltninger.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: