Aproape 750 de modele de imprimante Brother, Fujifilm, Ricoh, Toshiba și Konica Minolta suferă de vulnerabilități ce pot fi exploatate pentru pivotare în rețea sau execuție de cod de la distanță (RCE).

Cea mai gravă dintre probleme este identificată ca CVE‑2024‑51978 (scor critic de 9.8 din 10) și poate fi exploatată fără autentificare pentru a obține parola implicită de administrator a dispozitivului.

Această problemă de securitate poate permite unui atacator la distanță neautentificat să obțină numărul de serie al dispozitivului, care este necesar pentru a genera parola implicită de administrator.

Producătorul Brother a comunicat că CVE‑2024‑51978 nu poate fi reparată complet printr-o actualizare de firmware deoarece problema se află în procesul de producție al dispozitivelor.

Generarea parolei implicite de administrator

Experții în securitate cibernetică de la compania Rapid7 au găsit un set de opt vulnerabilități cu grad diferit de severitate ce afectează 748 modele de imprimante multifuncționale, scanere și dispozitive de etichetare:

• CVE-2024-51977 – divulgarea de informații sensibile (severitate medie)
  • permite unui atacator neautentificat să extragă informații sensibile, inclusiv numărul de serie.
• CVE-2024-51978 – evitarea autentificării (severitate critică)
  • permite generarea parolei implicite de administrator folosind numărul de serie.
• CVE-2024-51979 – stack buffer overflow (severitate ridicată)
  • permite unui atacator autentificat să declanșeze o execuție de cod la distanță.
• CVE-2024-51980 și CVE-2024-51981 – Server Side Request Forgery (SSRF, severitate medie)
  • forțează dispozitivul să efectueze conexiuni TCP arbitrare sau cereri HTTP.
• CVE-2024-51982 și CVE-2024-51983 – denial of service (severitate ridicată)
  • permit atacatorilor să provoace căderea repetată a dispozitivului.
• CVE-2024-51984 – divulgarea parolelor serviciilor externe (severitate medie)
  • un atacator autentificat poate descoperi credențialele pentru servicii externe precum LDAP sau FTP.

Prin combinarea acestor vulnerabilități, un actor rău intenționat poate obține acces complet asupra dispozitivului, fura credențiale pentru a se extinde către alte sisteme din rețea sau penetra rețeaua prin accesarea resurselor interne.

Stephen Fewer de la Rapid7 explică că parola implicită a administratorului unui dispozitiv afectat este generată automat în timpul procesului de producție folosind un algoritm care transformă numărul de serie într-o parolă implicită.

Acest algoritm, deși personalizat, nu este secret și poate fi aflat de către atacatori.

Pivotare către resurse din rețea

Obținerea numărului de serie este posibilă prin exploatarea CVE-2024-51977, care poate fi combinată cu CVE-2024-51978 pentru a evita cerința de autentificare și a genera parola administratorului.

Fewer spune că un atacator neautentificat ar putea găsi numărul de serie al dispozitivului vizat prin alte metode, precum comenzi PJL (Printer Job Language) sau SNMP (Simple Network Management Protocol).

După obținerea accesului la dispozitiv, actorii rău intenționați pot exploata CVE-2024-51984 pentru a descoperi credențiale în plaintext pentru servicii externe precum LDAP (Lightweight Directory Access Protocol), FTP, SFTP sau SharePoint care oferă acces la fișiere și dispozitive din rețea.

Rapid7 a raportat vulnerabilitățile către Brother pe 3 mai anul trecut, iar producătorul a emis o actualizare de firmware abia pe 10 octombrie 2024, prin care repară șapte din cele opt probleme de securitate.

Referitor la cea de-a opta problemă, CVE-2024-51978, producătorul a spus că aceasta nu poate fi remediată prin firmware dar utilizatorii o pot elimina prin schimbarea parolei implicite a dispozitivului.

Având în vedere că utilizatorii rareori schimbă parolele imprimantelor, riscul ca un atacator să le compromită rămâne destul de ridicat.

Trebuie menționat că dispozitivele din cadrul unei companii sunt vizate în mod special datorită posibilității extinderii în rețea către servicii și sisteme a căror compromitere poate duce la deranj financiar și operațional.

Rapid7 a publicat detaliile tehnice ce descriu pas cu pas exploatarea celor opt vulnerabilități și avantajele pe care le poate obține un atacator rău intenționat.