安全研究人員在多功能打印機(jī)(MFP)中發(fā)現(xiàn)了兩個(gè)影響150種產(chǎn)品型號(hào)的漏洞。
F-Secure安全顧問(wèn)Timo Hirvonen和Alexander Bolshev已將他們的調(diào)查結(jié)果寫(xiě)在一份詳細(xì)報(bào)告中。
具體來(lái)說(shuō)，他們?cè)贖P的MFP M725z設(shè)備中發(fā)現(xiàn)了一個(gè)物理訪問(wèn)端口漏洞 ( CVE-2021-39237 ) 和一個(gè)字體解析錯(cuò)誤 ( CVE-2021-39238 )。事實(shí)證明，它們影響了可追溯到2013年的FutureSmart產(chǎn)品線中的更多產(chǎn)品。
CVE-2021-3928是兩者中更危險(xiǎn)的一個(gè)，因?yàn)樗梢员贿h(yuǎn)程利用，可能通過(guò)誘使員工訪問(wèn)惡意網(wǎng)站來(lái)進(jìn)行“跨站點(diǎn)打印”攻擊。F-Secure表示，在這里，該網(wǎng)站將自動(dòng)在易受攻擊的MFP上打印包含惡意字體的文檔。
這將允許攻擊者在機(jī)器上執(zhí)行任意代碼以竊取任何打印、掃描或傳真的信息，包括設(shè)備密碼。
該報(bào)告稱(chēng)，它還可以使攻擊者能夠?qū)ζ髽I(yè)網(wǎng)絡(luò)發(fā)起更深入的攻擊，以傳播勒索軟件、從更敏感的數(shù)據(jù)存儲(chǔ)中竊取數(shù)據(jù)并實(shí)現(xiàn)其他目標(biāo)。
這些漏洞也是蠕蟲(chóng)病毒，這意味著同一網(wǎng)絡(luò)上的多個(gè)MFP可能會(huì)自動(dòng)受到影響。
“很容易忘記，現(xiàn)代MFP是功能齊全的計(jì)算機(jī)，威脅參與者可以像其他工作站和端點(diǎn)一樣破壞它。就像其他端點(diǎn)一樣，攻擊者可以利用受損設(shè)備來(lái)破壞組織的基礎(chǔ)設(shè)施和運(yùn)營(yíng)。”F-Secure的Hirvonen解釋說(shuō)。
“經(jīng)驗(yàn)豐富的威脅行為者將不安全的設(shè)備視為機(jī)會(huì)，因此不像其他端點(diǎn)那樣優(yōu)先保護(hù)其MFP的組織會(huì)使自己暴露在我們研究中記錄的攻擊中。”
HP已針對(duì)這些漏洞發(fā)布了補(bǔ)丁，這些漏洞被描述為“中等”(CVE-2021-39237) 和嚴(yán)重程度 (CVE-2021-39238)。
盡管人們認(rèn)為這些漏洞只能被高級(jí)目標(biāo)攻擊者利用，但還是敦促企業(yè)盡快對(duì)其進(jìn)行修補(bǔ)。
來(lái)源：GoUpSec
