Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- Xerox Workcentre Pro, versions 232, 238, 245, 255, 265, 275.
- Xerox Workcentre, versions 232, 238, 245, 255, 265, 275 ;
Résumé
Les systèmes Xerox Workcentre sont des imprimantes embarquant des fonctions de photocopie, de numérisation, de courrier électronique et de télécopie. Plusieurs vulnérabilités dans les produits affectés permettent à un utilisateur malintentionné d'accéder à des données sensibles et d'exécuter un code arbitraire à distance.
Description
De multiples vulnérabilités affectent les systèmes Xerox Workcentre et Xerox Workcentre Pro :
- une faille de l'autoconfiguration permet à l'attaquant de modifier la configuration ;
- un défaut de gestion des permissions permet l'accès à des systèmes vulnérables ;
- un manque de validation des entrées dans l'interface web permet de l'injection de commandes ;
- des requêtes peuvent être acceptées en HTTP alors qu'elles ne devraient l'être qu'en HTTPS ;
- une erreur dans la fonction de numérisation permet d'accéder à des fichiers sécurisés ;
- une erreur dans la fonction de courrier électronique permet le détournement de signature ;
- l'heure système peut être incorrecte, donc celle inscrite dans les journaux également.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité XEROX XRX-06-006 du 30 novembre 2006 : http://www.xerox.com/dowloads/usa/en/c/cert_XRX_06_006_v1.pdf
