ক্যানন প্রিন্টারে ক্রিটিক্যাল বাগ কোড এক্সিকিউশন, DDoS অনুমতি দেয়

ক্যানন তার ছোট অফিস মাল্টিফাংশন প্রিন্টার এবং লেজার প্রিন্টারগুলিকে প্রভাবিত করে সাতটি গুরুত্বপূর্ণ বাফার-ওভারফ্লো বাগ প্যাচ করেছে।

CVE-2023-6229 হিসাবে CVE-2023-6234 (প্লাস CVE-2024-0244) হিসাবে ট্র্যাক করা হয়েছে, তারা ক্যাননের পণ্য লাইন জুড়ে সাধারণ বিভিন্ন প্রক্রিয়াকে প্রভাবিত করে - মোবাইল ডিভাইসের প্রমাণীকরণের সাথে জড়িত ব্যবহারকারীর নাম বা পাসওয়ার্ড প্রক্রিয়া, উদাহরণস্বরূপ, পরিষেবা অবস্থান প্রোটোকল (SLP) বৈশিষ্ট্য অনুরোধ প্রক্রিয়া, এবং আরো.

কমন ভালনারেবিলিটি স্কোরিং সিস্টেম (CVSS) স্কেলে 9.8 রেটিং-এর মধ্যে কোম্পানি তাদের সকলকে "গুরুত্বপূর্ণ" 10 নির্ধারণ করেছে। যেমন ব্যাখ্যা করা হয়েছে একটি নিরাপত্তা পরামর্শ, তারা অননুমোদিত আক্রমণকারীদের দূরবর্তীভাবে ইন্টারনেটের সাথে সংযুক্ত কোনো প্রভাবিত প্রিন্টারের বিরুদ্ধে দূরবর্তীভাবে পরিষেবা অস্বীকার (DoS) বা নির্বিচারে কোড সম্পাদন করার অনুমতি দিতে পারে। তারা ভিকটিম নেটওয়ার্কের গভীরে প্রবেশ করার জন্য একটি সহজ পিভট পয়েন্টও অফার করে।

এখনও পর্যন্ত বন্য অঞ্চলে কোন শোষণ পরিলক্ষিত হয়নি, অনুসারে কোম্পানির ইউরোপীয় সাইট, কিন্তু মালিকদের আপস সূচকগুলির জন্য স্ক্যান করা উচিত যে বাগগুলি সর্বজনীনভাবে পরিচিত কিন্তু মাস ধরে আনপ্যাচ করা হয়নি৷

হ্যান্ডেল করা কঠিন: প্রিন্টার নিরাপত্তার সমস্যা

5 ফেব্রুয়ারী প্যাচ করা সাতটি দুর্বলতা আরও কয়েক ডজনের সাথে প্রকাশ করা হয়েছিল Pwn2Own টরন্টোর SOHO Smashup গত গ্রীষ্মে, যেখানে প্রতিযোগীদের রাউটার এবং তারপর ছোট অফিস/হোম অফিস (SOHO) ডিভাইসগুলিকে তারা সংযুক্ত করার জন্য আমন্ত্রণ জানানো হয়েছিল।

প্রিন্টার, তাই খুব কমই হিসাবে স্বীকৃত সাইবার আক্রমণের জন্য উর্বর ভিত্তি, ইভেন্টে তাদের নিজস্ব বিভাগ দেওয়া হয়েছিল।

“এটি এখন একটি চমত্কার বড় আক্রমণ পৃষ্ঠ প্রায়ই উপেক্ষা করা হয়, বিশেষ করে ছোট ব্যবসায়, কারণ এটি একটি এন্টারপ্রাইজ স্তর থেকে পরিচালনা করা কঠিন," ডাস্টিন চাইল্ডস ব্যাখ্যা করেছেন, ট্রেন্ড মাইক্রোস জিরো ডে ইনিশিয়েটিভ (জেডডিআই) এর হুমকি সচেতনতা প্রধান, যা Pwn2Own হ্যাকিং প্রতিযোগিতা পরিচালনা করে৷ "আমি বলতে চাচ্ছি, এটি এমন নয় যে প্রিন্টারগুলিতে স্বয়ংক্রিয় আপডেট বা অন্যান্য বৈশিষ্ট্য রয়েছে যা আপনি তাদের পরিষ্কার এবং সহজে পরিচালনা করতে ব্যবহার করতে পারেন।"

তিনি যোগ করেন, “প্রিন্টাররা সবসময়ই কুখ্যাত হওয়ার জন্য কুখ্যাত। আপনি অফিস স্পেসে ফিরে যেতে পারেন - যেখানে তারা একটি বড় দৃশ্য প্রিন্টারে একটি বেসবল ব্যাট নিল. এটি একটি রসিকতা, কিন্তু এটি একটি রসিকতা যা বাস্তবে ভিত্তিক। এই জিনিসগুলি পরিচালনা করা কঠিন। চালকদের পরিচালনা করা কঠিন। এবং তাদের উপর অনেক সমস্যাযুক্ত সফ্টওয়্যার রয়েছে।"

ফলস্বরূপ, একটি পুরানো অফিস প্রিন্টার - একটি ছোট বা মাঝারি আকারের ব্যবসায়িক (SMB) নেটওয়ার্কে অন্যান্য, আরও সংবেদনশীল ডিভাইসগুলির সাথে সংযুক্ত - ক্র্যাক করার জন্য বরং তুচ্ছ হতে থাকে৷

"আমি কিছুটা হতবাক হয়ে গিয়েছিলাম যে সত্যিকারের কার্যকরী শোষণগুলি খুঁজে পেতে তাদের কত কম কাজ করতে হয়েছিল," চাইল্ডস Pwn2Own টরন্টোর কথা স্মরণ করে৷ একটি কেস হিসাবে: “গত বছর কেউ একটি প্রিন্টারে মারিও থিম খেলেছে। এবং তিনি বলেছিলেন যে প্রিন্টারকে কাজে লাগানোর চেয়ে মারিও থিমটি কীভাবে খেলতে হয় তা নির্ধারণ করতে তার আরও বেশি সময় লেগেছে।"

SMBs প্রিন্টার নিরাপত্তা বিশৃঙ্খলা সম্পর্কে কি করতে পারে

সর্বশেষ ফার্মওয়্যারে আপডেট করার সুস্পষ্ট পদক্ষেপের বাইরে, ক্যানন তার গ্রাহকদের "পণ্যগুলির জন্য একটি ব্যক্তিগত আইপি ঠিকানা সেট করতে এবং একটি ফায়ারওয়াল বা তারযুক্ত/ওয়াই-ফাই রাউটার সহ একটি নেটওয়ার্ক পরিবেশ তৈরি করার পরামর্শ দিচ্ছে যা নেটওয়ার্ক অ্যাক্সেস সীমাবদ্ধ করতে পারে।"

পরামর্শটি একটি বৃহত্তর বিষয়ের সাথে কথা বলে: এমনকি যদি প্রিন্টারগুলি মোটা এবং অবাঞ্ছিত হয়, তবে যা পরিচালনা করা যায় তা হল তাদের সংযোগ।

“বিশ্বাস করুন বা না করুন, ইন্টারনেট-ঠিকানাযোগ্য প্রিন্টার ছিল। ব্যবসাগুলি যা করেছে তা হল তারা ইন্টারনেট থেকে প্রিন্টারগুলি অর্জন করেছে, যা গত দশকে একটি পরিবর্তন। এখন আমরা অন্তত একটি ফায়ারওয়াল, বা রাউটার, বা পিছনে তাদের পেয়েছিলাম কিছু"শিশুরা ব্যাখ্যা করে।

তবে, তিনি যোগ করেন, “যেমন আমরা দেখেছি প্রিন্ট নাইটমেয়ার এবং অন্যান্য প্রিন্টার-ভিত্তিক শোষণ, আপনি সেই ফায়ারওয়াল অতিক্রম করতে পারেন এবং তারপরে একটি প্রিন্টারকে আক্রমণ করতে পারেন, তারপর এটি থেকে একটি এন্টারপ্রাইজের মধ্যে অন্য লক্ষ্যগুলিতে পিভট করতে পারেন।" একটি প্রিন্টার সমঝোতাকে একটি নেটওয়ার্কে পৌঁছানো থেকে রোধ করতে, SMB-গুলিকে তাদের নেটওয়ার্কের বিভিন্ন ক্ষেত্র সঠিকভাবে ভাগ করার উপর ফোকাস করতে হবে।

প্রিন্টারদের নিজেদের রক্ষা করার সর্বোত্তম উপায়, ইতিমধ্যে, প্যাচ করা। যেমন চাইল্ডস স্মরণ করে, "আমি আপনাকে বলতে পারব না যে আমি কতবার প্রিন্টারের কথা শুনেছি যেগুলি শোষণ করা হয়েছিল যেগুলি তিন বা চারটি আপডেটের পিছনে ছিল।"

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
• প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• প্লেটোইএসজি। কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
• প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/endpoint-security/critical-bugs-canon-small-office-printers-code-execution-ddos