Kritische Sicherheitslücken: Lexmark aktualisiert Firmware für viele Drucker

In zahlreichen aktuellen Business-Druckern von Lexmark enthalten die derzeit eingesetzten Firmware-Stände kritische Sicherheitslücken. Sie erlauben Angreifern aus dem Netz – teils ohne vorherige Authentifizierung –, beliebigen Code auf die verwundbaren Geräte zu verfrachten und darauf auszuführen.

Von den acht gemeldeten Sicherheitslücken haben Lexmarks Entwickler sechs als kritisch eingestuft. Zwei weitere Schwachstellen gelten demnach als hochriskant.

Lexmark-Drucker: Kritische Lücken

Eine Sicherheitslücke betrifft das Simple Network Monitoring Protocol (SNMP) der Lexmark-Drucker. Eingaben an den Dienst werden offenbar nicht ausreichend geprüft. Welche und wie ein konkreter Angriff aussähe, erklärt Lexmark nicht (CVE-2023-26070, CVSS 9.0, Risiko "kritisch"). Auch die Web-API neuerer Druckermodelle prüft derartige Eingaben nicht ausreichend – ob es sich um einen Copy-and-Paste-Fehler von Lexmark in der Fehlerbeschreibung oder das Durchreichen der Daten an den SNMP-Dienst handelt, was eine ebensolche Lücke reißt, ist derzeit nicht klar (CVE-2023-26069, CVSS 9.0, kritisch).

Vier weitere Sicherheitslücken betreffen die Datenverarbeitung im Postscript-Interpreter diverser Lexmark-Geräte. Sie gelten allesamt als kritisch (CVE-2023-26066, CVE-2023-26065, CVE-2023-26064, CVE-2023-26063; CVSS 9.0, kritisch). Zudem überprüft der Embedded-Webserver auf neueren Lexmark-Druckern Eingaben nicht korrekt, was Angreifern Codeschmuggel ermöglichen könnte (CVE-2023-26068, CVSS 8.5, hoch). Die letzte der Lücken ermöglicht Angreifern, die bereits auf ein Gerät zugreifen können, das Ausweiten ihrer Rechte darin (CVE-2023-26067, CVSS 8.0, hoch).

Lexmark hat für die Schwachstellen einzelne Sicherheitsmeldungen veröffentlicht.

• CVE-2023-26070 SNMP-Leck
• CVE-2023-26069 Web-Api-Lücke
• CVE-2023-26066 PS-Interpreter-Schwachstelle
• CVE-2023-26065 PS-Interpreter-Sicherheitsleck
• CVE-2023-26064 PS-Interpreter-Sicherheitslücke
• CVE-2023-26063 sicherheitsrelevante Fehler in PS-Interpreter
• CVE-2023-26068 Schwachstelle im Embedded Webserver
• CVE-2023-26067 Sicherheitslücke erlaubt Rechteausweitung

Die Sicherheitsmeldungen enthalten jeweils die Liste der betroffenen Drucker-Modelle und -Baureihen sowie die Firmware-Versionsnummern, die die zugrundeliegenden Fehler nicht mehr enthalten. Allgemein stopfen Firmware-Versionen mit *.081.232 die kritischen Lücken, die beiden hochriskanten Schwachstellen beheben hingegen Firmware-Stände mit den Nummern *.081.233.

IT-Verantwortliche sollten aufgrund des hohen Risikos, das von den Schwachstellen ausgeht, die Firmware-Aktualisierungen zügig herunterladen und installieren. Mit der Suche nach dem eingesetzten Druckermodell auf der Support-Webseite von Lexmark soll sich die neue Firmware finden lassen, schreibt der Hersteller in den Sicherheitsmeldungen.

Schon Ende Januar warnte Lexmark vor einer kritischen Sicherheitslücke, die Angreifern das Einschmuggeln von Schadcode ermöglicht hätten. Auch dagegen hat der Hersteller Firmware-Aktualisierungen veröffentlicht, die die Lücken schließen.

(dmk)