Canon-tulostimien kriittiset virheet sallivat koodin suorittamisen (DDoS).

Canon on korjannut seitsemän kriittistä puskurin ylivuotovirhettä, jotka vaikuttavat sen pienten toimistojen monitoimitulostimiin ja lasertulostimiin.

CVE-2023-6229-CVE-2023-6234 (ja CVE-2024-0244) jäljitettyinä ne vaikuttavat erilaisiin prosesseihin, jotka ovat yleisiä Canonin tuotelinjoissa – mobiililaitteiden todentamiseen liittyvään käyttäjätunnus- tai salasanaprosessiin, esimerkiksi Service Location Protocol. (SLP) attribuuttipyyntöprosessi ja paljon muuta.

Yritys antoi heille kaikille "kriittisiä" 9.8/10 arvosanaa Common Vulnerability Scoring System (CVSS) -asteikolla. Kuten on selitetty turvallisuusneuvonta, ne voivat antaa todentamattomille hyökkääjille mahdollisuuden suorittaa etäpalveluneston (DoS) tai mielivaltaisen koodin suorittamisen mitä tahansa suoraan Internetiin liitettyä tulostimia vastaan. Ne tarjoavat myös kätevän kääntöpisteen, jonka avulla voit kaivaa syvemmälle uhriverkostoihin.

Luonnossa ei ole toistaiseksi havaittu hyväksikäyttöä yrityksen eurooppalainen sivusto, mutta omistajien tulisi etsiä merkkejä kompromisseista, koska virheet ovat olleet julkisesti tiedossa, mutta niitä ei ole korjattu kuukausien ajan.

Vaikea käsitellä: tulostimen suojausongelma

Helmikuun 5. päivänä korjatut seitsemän haavoittuvuutta paljastettiin kymmenien muiden ohella osoitteessa Pwn2Own Toronton SOHO Smashup viime kesänä, jolloin kilpailijat kutsuttiin rikkomaan reitittimiä ja sitten pieniä toimisto-/kotitoimistolaitteita (SOHO), joihin he muodostavat yhteyden.

Tulostimet, joita niin harvoin tunnistetaan suotuisat maaperät kyberhyökkäyksille, saivat oman kategoriansa tapahtumassa.

"Tällä hetkellä se on melko suuri hyökkäyspinta usein unohdetaan, varsinkin pienissä yrityksissä, koska sitä on vaikea hallita yritystasolta", selittää Dustin Childs, Trend Micron Zero Day Initiativen (ZDI) uhkatietoisuuden johtaja, joka järjestää Pwn2Own-hakkerointikilpailun. "Tarkoitan, että tulostimissa ei ole automaattisia päivityksiä tai muita ominaisuuksia, joiden avulla voit hallita niitä siististi ja helposti."

Hän lisää: ”Tulostimet ovat aina olleet pahamaineisia oveluudestaan. Voit palata Office Spaceen – yhteen suurimmista kohtauksista, joissa he vei pesäpallomailan tulostimeen. Se on vitsi, mutta se on vitsi, joka perustuu todellisuuteen. Näitä asioita on vaikea hallita. Kuljettajia on vaikea hallita. Ja niissä on paljon ongelmallisia ohjelmistoja."

Seurauksena on, että vanha toimistotulostin – yhdistettynä muihin, herkempiin laitteisiin pienten tai keskisuurten yritysten (SMB) verkossa – on yleensä melko triviaalia murtaa.

"Olin hieman järkyttynyt siitä, kuinka vähän heidän täytyi tehdä töitä löytääkseen todella toimivia hyväksikäyttöjä", Childs muistelee Pwn2Own Torontoa. Esimerkkinä: ”Viime vuonna joku soitti Mario-teemaa tulostimella. Ja hän sanoi, että Mario-teeman hahmottaminen kesti kauemmin kuin tulostimen hyödyntäminen.

Mitä pk-yritykset voivat tehdä tulostinturvakaaokselle?

Uusimpaan laiteohjelmistoon päivittämisen ilmeisen vaiheen lisäksi Canon neuvoo asiakkaitaan "asettamaan tuotteille yksityisen IP-osoitteen ja luomaan verkkoympäristön palomuurilla tai langallisella/Wi-Fi-reitittimellä, joka voi rajoittaa verkkoon pääsyä".

Neuvo puhuu laajemmasta asiasta: vaikka tulostimet ovat paksuja ja painavia, niiden liitettävyys on hallittavissa.

”Aiemmin oli, uskokaa tai älkää, Internet-osoitteellisia tulostimia. Yritykset ovat saaneet tulostimet pois Internetistä, mikä on muutos viimeisen vuosikymmenen aikana. Nyt meillä on ne ainakin palomuurin tai reitittimen takana jotain”, Childs selittää.

Hän kuitenkin lisää: "Kuten olemme nähneet PrintNightmare ja muut tulostinpohjaiset hyödyt, voit ohittaa palomuurin ja hyökätä tulostimen kimppuun ja siirtyä siitä sitten muihin yrityksen kohteisiin." Pk-yritysten on keskityttävä segmentoimaan oikein verkkojensa eri alueet, jotta tulostinkompromissi ei ulotu verkkoon.

Paras tapa suojata itse tulostimia on korjata. Kuten Childs muistelee, "en voi kertoa teille, kuinka monta kertaa olen kuullut tulostimista, joita on käytetty hyväksi ja jotka olivat kolme tai neljä päivitystä jäljessä."

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/endpoint-security/critical-bugs-canon-small-office-printers-code-execution-ddos