Sveobuhvatna sigurnosna analiza otkrila je osam kritičnih ranjivosti koje utiču na 742 modela pisača i multifunkcijskih uređaja četiri velika proizvođača.
Ovo otkriće, rezultat projekta istraživanja zero day-a koji je provela kompanija za sajber sigurnost Rapid7, razotkriva ozbiljne sigurnosne propuste u ekosistem pisača kompanije Brother Industries, a koji se protežu izvan vlastitih uređaja proizvođača te utiču na modele FUJIFILM Business Innovation, Ricoh i Toshiba Tec Corporation.
Ranjivosti obuhvaćaju curenje informacija do potpunog ugrožavanja uređaja, a najozbiljnija je ona koja omogućuje zaobilaženje autentifikacije, dodijeljena pod oznakom CVE-2024-51978, s kritičnom CVSS ocjenom 9.8.
Ovaj specifični propust omogućuje napadačima koji nisu autentificirani da daljinski generišu zadane administratorske lozinke iskorištavanjem predvidljivog algoritma za generisanje lozinki koji pretvara serijske brojeve uređaja u vjerodajnice za autentifikaciju.
Nedostatak je toliko temeljan za proizvodni proces da je Brother naznačio da se on ne može u potpunosti otkloniti samo ažuriranjima firmvera, već zahtijeva promjene u proizvodnom lancu za potpunu ublažavanje.
Opseg izloženosti sigurnosti bez presedana je u području sigurnosti pisača, utičući na 689 Brother uređaja, uz desetke modela partnerskih proizvođača.
Analitičari Rapid7 identifikovali su ove ranjivosti kroz opsežno testiranje multifunkcijskih pisača, otkrivši vektore napada koji obuhvataju više mrežnih protokola, uključujući HTTP, HTTPS, IPP, PJL i web usluge.
Metodologija istraživanja uključivala je detaljnu analizu komponenti firmvera, implementacija protokola i mehanizama autentifikacije na pogođenim obiteljima uređaja.
Ovaj skup ranjivosti stvara višestruke putanje napada koje se mogu povezati kako bi se postigao maksimalni učinak. Napadač može iskoristiti CVE-2024-51977 za curenje osjetljivih podataka o uređaju, uključujući serijske brojeve, zatim iskoristiti CVE-2024-51978 za generisanje administratorskih kredencijala, te na kraju iskoristiti CVE-2024-51979 za napade prepunjavanjem međuspremnika baziranog na steku, što bi moglo dovesti do izvršenja udaljenog koda.
Ovaj lanac napada pretvara ono što bi se moglo činiti kao umjerene pojedinačne ranjivosti u kritičnu sigurnosnu prijetnju kada se sistemski kombinuju.
Najznačajnija ranjivost u ovom skupu, CVE-2024-51978, razotkriva temeljni nedostatak u sigurnosnoj arhitekturi uređaja kompanije Brother kroz njezin predvidljivi sistem generisanja zadane lozinke.
Tokom proizvodnog procesa, svaki uređaj dobija jedinstvenu zadanu administratorsku lozinku izračunatu pomoću determinističkog algoritma koji pretvara serijski broj uređaja u kredencijalu za autentifikaciju.
Ovaj pristup, iako namijenjen pružanju jedinstvenih lozinki u cijeloj floti uređaja, stvara kritičnu sigurnosnu slabost kada postane poznat algoritam generisanja.
Metodologija napada započinje otkrivanjem serijskog broja kroz više vektora. Napadači mogu dobiti serijske brojeve uređaja putem CVE-2024-51977 kroz HTTP, HTTPS ili IPP usluge ili alternativno kroz izravne PJL ili SNMP upite koji u potpunosti zaobilaze ranjivost curenja informacija.
Nakon što je serijski broj pribavljen, predvidljivi algoritam generisanja lozinki omogućuje napadačima da izračunaju odgovarajuću zadana administratorsku lozinku bez potrebe za bilo kakvim autentificiranim pristupom ciljnom uređaju.
Priznanje kompanije Brother da se ova ranjivost ne može u potpunosti riješiti ažuriranjima firmvera naglašava ozbiljnost arhitektonskog nedostatka.
Kompanija je implementirala promjene proizvodnih procesa za novoproizvedene uređaje, dok za postojeće instalacije pruža privremena rješenja.
Međutim, uređaji proizvedeni prema izvornom procesu ostaju temeljno ranjivi, osim ako administratori ručno ne promijene zadane lozinke, korak koji mnoge organizacije zanemaruju u svojim procedurama implementacije pisača.
Pregled ranjivosti:
* CVE-2024-51977: Neautentifikovani napadač može doći do osjetljivih informacija putem HTTP, HTTPS ili IPP usluga, s ocjenom 5.3 (Srednje).
* CVE-2024-51978: Neautentifikovani napadač može generisati zadana administratorska lozinka uređaja putem HTTP, HTTPS ili IPP usluga, s ocjenom 9.8 (Kritično).
* CVE-2024-51979: Autentifikovani napadač može pokrenuti prepunjavanje međuspremnika baziranog na stogu putem HTTP, HTTPS ili IPP usluga, s ocjenom 7.2 (Visoko).
* CVE-2024-51980: Neautentifikovani napadač može prisiliti uređaj na otvaranje TCP veze putem web usluga preko HTTP, s ocjenom 5.3 (Srednje).
* CVE-2024-51981: Neautentifikovani napadač može prisiliti uređaj na izvršavanje proizvoljnog HTTP zahtjeva putem web usluga preko HTTP, s ocjenom 5.3 (Srednje).
* CVE-2024-51982: Neautentifikovani napadač može uzrokovati pad uređaja putem PJL, s ocjenom 7.5 (Visoko).
* CVE-2024-51983: Neautentifikovani napadač može uzrokovati pad uređaja putem web usluga preko HTTP, s ocjenom 7.5 (Visoko).
* CVE-2024-51984: Autentifikovani napadač može otkriti lozinku konfigurisane vanjske usluge putem LDAP i FTP, s ocjenom 6.8 (Srednje).
Proces koordiniranog objavljivanja, koji je trajao trinaest mjeseci od početnog kontakta do javnog objavljivanja, uključivao je saradnju između Rapid7, Brother Industries i japanskog JPCERT/CC koordinacionog centra.
Sedam od osam ranjivosti riješeno je ažuriranjima firmvera, pri čemu potpuno rješavanje zahtijeva kako softverske zakrpe, tako i promjene konfiguracije kako bi se pogođeni uređaji u cijelom korporativnom okruženju pisača u potpunosti osigurali.
