Updates gegen Sicherheitslücken in Xerox-Druckern

Xerox schließt mit einem Software-Update für Drucker der WorkCentre- und WorkCentre-Pro-Reihe einige Sicherheitslücken. Angreifer können durch die Lücken beliebige Kommandos auf den Druckern ausführen.

Die Updates beseitigen eine Vielzahl von Fehlern auf den betroffenen Druckern. Zum Einschleusen von Programmen, beispielsweise zur Installation eines FTP-Dienstes, eignen sich Schwachstellen beim Verarbeiten eingegebener TCP/IP-Hostnamen und bei Konfigurationsparametern für Microsoft-Networking in der Web-Benutzer-Schnittstelle sowie das Scan-to-Mailbox-Verzeichnisnamen-Eingabefeld. Über Scan-to-Mailbox können anonyme Nutzer außerdem eigentlich geschützte Dateien vom Drucker herunterladen.

Die sogenannten Browser-Permissions können Zugriff ohne die notwendigen Rechte erlauben. Ist die automatische Konfiguration über TFTP und BOOTP aktiv, gestattet sie Angreifern, ohne die nötige Berechtigung Einstellungen verändern. Anfragen an den Web-Dienst können anstatt über eine gesicherte HTTPS-Verbindung direkt über HTTP laufen.

Betroffen sind die Xerox WorkCenter- und WorkCentre-Pro-Drucker mit den Modellnummern 232, 238, 245, 255, 265 und 275. Die Software-Versionen 12.060.17.000, 14.060.17.000 und 13.060.17.000 beheben die Probleme. Xerox empfiehlt betroffenen Administratoren dringend , die neuen Versionen einzuspielen.

Siehe dazu auch:

• XEROX SECURITY BULLETIN XRX06-006(PDF), Meldung zu den Sicherheitslücken von Xerox
• Download der aktualisierten Drucker-Systemsoftware

(dmk)