Компания Lexmark выпустила обновление микропрограммы безопасности, чтобы устранить серьёзную уязвимость, которая делает возможным удалённое выполнение кода на более чем 100 моделях её принтеров.
Проблема безопасности получила идентификатор CVE-2023-23560 и рейтинг серьезности 9. Она заключается в возможности подделки запроса на стороне сервера (SSRF) в функции веб-служб устройств Lexmark.
Уязвимость можно использовать для выполнения произвольного кода на устройстве. Потенциально злоумышленники могут получить доступ к заданиям на печать, учётным данным для сети, к которой подключён принтер, и, возможно, взломать другие устройства в ней.
Однако Lexmark заверила, что признаков эксплуатации уязвимости нет.
При этом был опубликован код эксплойта для проверки концепции (PoC).
Пользователям рекомендуется проверить уровень прошивки и убедиться, что он соответствует последнему обновлению. Чтобы определить, какая прошивка работает на устройстве, нужно перейти в «Настройки» → «Отчёты» → «Страница настроек меню» и посмотреть версию в разделе «Информация об устройстве».
Полный список потенциально уязвимых устройств, выпуски уязвимых прошивок и обновлённая версия с её устранением доступны в бюллетене по безопасности Lexmark. Все версии прошивок с номерами 081.233 и ниже оказались уязвимыми.
Тем, кто не может установить обновление для системы безопасности, Lexmark предлагает обходной путь: отключить функцию веб-служб на TCP-порту 65002. Для этого нужно перейти в «Настройки» → «Сеть/порты» → «TCP/IP» → «Доступ к портам TCP/IP», снять флажок «TCP 65002 (служба печати WSD)» и сохранить изменения.
В декабре 2021 года исследователи из F-Secure обнаружили ряд уязвимостей, затрагивающих как минимум 150 моделей многофункциональных принтеров HP. Они заявили, что уязвимости возникли в 2013 году. HP выпустила патчи для двух наиболее критических ошибок.
В марте 2022 года обнаружилось четыре новых уязвимости в моделях сетевых принтеров и МФУ HP, которые позволяют удалённо выполнить код, а также приостановить или заблокировать работу устройств. Производитель выпустил обновление прошивок для части устройств. Проблема затронула принтеры LaserJet Pro, Pagewide Pro, OfficeJet, Enterprise, Large Format и DeskJet.
