EC80xx, AltaLink, VersaLink ve WorkCentre dahil birden fazla Xerox yazıcı modelinin, kimlik doğrulamalı uzaktan kod yürütme (RCE) saldırısına karşı savunmasız olduğu belirlendi.
CVE-2024-6333 olarak izlenen bu güvenlik açığı önemli bir risk teşkil ediyor ve yönetici web kimlik bilgilerine sahip saldırganların kök ayrıcalıklarına sahip etkilenen cihazların güvenliğini aşmasına tamamen olanak tanıyor.
SEC Consult’un Viyana ofisinden Timo Longin ve Zürih ofisinden Tamas Jos güvenlik açığını keşfetti. Bir saldırganın yazıcının işletim sisteminde rastgele komutlar yürütmesine olanak tanır.
Kusur, tcpdump aracını kullanan web arayüzünün “Ağ Sorun Giderme” menüsünde yatıyor. Yetersiz giriş doğrulaması, saldırganların IPv4 adres değerini değiştirerek tcpdump komut dizisine işletim sistemi komutları eklemesine olanak tanır.
Ulusal Siber Güvenlik Farkındalığı Ayı Siber Zorluklar – Becerilerinizi Şimdi Test Edin
Örneğin, IPv4 adresini “0.0.0.0$(bash $TMP~cmd)” olarak ayarlayarak, bir ağ sorun giderme oturumu başlatılırken “/tmp/~cmd” dosyasında saklanan komutlar yürütülebilir.
Bu istismardan, saldırganlara yazıcının sistemine tam erişim sağlayan bir ters kabuk oluşturmak için daha da yararlanılabilir.
Güvenlik açığı birkaç Xerox yazıcı modelini etkiliyor. Özellikle en son ürün yazılımı sürümlerine güncellenmeyenler.
Xerox WorkCentre 7970 (073.200.167.09610) ve WorkCentre 7855 (073.040.167.09610), başlangıçta test edilen ve savunmasız bulunan modeller arasındaydı.
SEC Consult, Xerox’u bu kritik güvenlik sorununu derhal ele almaya çağırdı. Müşterilerin en son güncellemeleri yüklemeleri ve bu güvenlik açığının azaltılmasına ilişkin ayrıntılı rehberlik için Xerox’un XRX24-015 güvenlik notunu incelemeleri önerilir.
Ayrıca SEC Consult, olası diğer güvenlik sorunlarını belirlemek ve çözmek için Xerox ürünlerinin kapsamlı bir güvenlik incelemesini önermektedir.
Dijital ve BT hizmetlerinde giderek artan varlığıyla ofis ve üretim baskı teknolojisinde lider olan Xerox, işyeri deneyimlerini yeniden tanımlama ve yenilikçi çözümlerle müşteri başarısını güçlendirme konusundaki kararlılığını vurguladı.
Free Webinar on How to Protect Small Businesses Against Advanced Cyberthreats -> Watch Here