Recentemente sono state scoperte vulnerabilità di sicurezza nei multifunzione Xerox VersaLink C7025 che potrebbero consentire agli attaccanti di catturare le credenziali di autenticazione attraverso attacchi di tipo pass-back sfruttando i protocolli LDAP e servizi SMB/FTP. Queste vulnerabilità consentono a un attore malintenzionato di modificare la configurazione del dispositivo MFP, facendo sì che invii le credenziali di autenticazione all'attaccante stesso. Questa situazione pone un elevato rischio per le organizzazioni poiché le credenziali catturate potrebbero permettere agli attaccanti di muoversi lateralmente all'interno dell'ambiente di un'organizzazione e compromettere altri server e sistemi critici di Windows Active Directory.
Le vulnerabilità identificate
Le vulnerabilità identificate, che interessano le versioni firmware fino alla 57.69.91, includono il CVE-2024-12510 e il CVE-2024-12511. Il CVE-2024-12510, con un punteggio CVSS di 6.7, permette di reindirizzare le informazioni di autenticazione a un server rogue attraverso LDAP. Tuttavia, per sfruttare questa vulnerabilità, un attaccante deve avere accesso alla pagina di configurazione LDAP e LDAP deve essere utilizzato per l'autenticazione. Il CVE-2024-12511, con un punteggio CVSS di 7.6, consente a un attore malintenzionato di accedere alla configurazione della rubrica dell'utente per modificare l'indirizzo IP del server SMB o FTP, facendolo puntare a un host sotto il loro controllo e catturando le credenziali di autenticazione durante le operazioni di scansione dei file.
Accesso necessario e risoluzione
Per rendere l'attacco efficace, l'attaccante necessita di un accesso fisico alla console della stampante o di un accesso alla console di controllo remoto tramite interfaccia web. Questo potrebbe richiedere l'accesso amministrativo, a meno che l'accesso alla console di controllo remoto a livello utente sia stato abilitato. Dopo la divulgazione responsabile il 26 marzo 2024, le vulnerabilità sono state risolte con il rilascio del Service Pack 57.75.53 per le stampanti delle serie VersaLink C7020, 7025 e 7030.
Raccomandazioni per la sicurezza
Se l'aggiornamento immediato non è un'opzione, si consiglia agli utenti di impostare una password complessa per l'account amministrativo, evitare di utilizzare account di autenticazione Windows con privilegi elevati e disabilitare la console di controllo remoto per utenti non autenticati.
L'importanza di aggiornare tempestivamente e di applicare le patch di sicurezza non può essere sottovalutata, soprattutto in un contesto in cui il software vulnerabile può esporre dati sensibili a minacce esterne. Le organizzazioni devono adottare misure proattive per proteggere le loro reti e sistemi da potenziali exploit che potrebbero compromettere la sicurezza dei dati.
