พบช่องโหว่ใหม่ในเครื่อง Printer Xerox ที่ทำให้ผู้โจมตีสามารถขโมยข้อมูล Credentials ของ Windows Active Directory ได้

มีการเปิดเผยช่องโหว่ด้านความปลอดภัยในเครื่อง Printer Xerox VersaLink รุ่น C7025 ที่อาจทำให้ผู้โจมตีสามารถขโมยข้อมูล credentials สำหรับการ authentication ผ่านการโจมตีแบบ pass-back โดยผ่าน Services โปรโตคอล Lightweight Directory Access Protocol (LDAP) และ SMB/FTP ได้

Deral Heiland นักวิจัยด้านความปลอดภัยจาก Rapid7 ระบุว่า "การโจมตีแบบ pass-back นี้อาศัยช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถเปลี่ยนแปลงการตั้งค่าของเครื่องพิมพ์ MFP และทำให้ตัวอุปกรณ์ส่งข้อมูล credentials สำหรับการ authentication กลับไปยังผู้โจมตีได้"

"หากผู้โจมตีสามารถโจมตีโดยใช้ช่องโหว่นี้ได้สำเร็จ ผู้โจมตีจะสามารถขโมยข้อมูล credentials ของ Windows Active Directory ได้ ซึ่งหมายความว่าผู้โจมตีสามารถโจมตีต่อไปภายในเครือข่ายขององค์กรได้อย่างอิสระ และสามารถเข้าถึง Windows servers หรือระบบไฟล์ที่สำคัญอื่น ๆ ได้"

ช่องโหว่ที่พบ ส่งผลกระทบต่อเฟิร์มแวร์เวอร์ชั่น 57.69.91 และเวอร์ชั่นที่เก่ากว่า โดยมีดังต่อไปนี้ :

  • CVE-2024-12510 (คะแนน CVSS: 6.7) - การโจมตีแบบ Pass-back ผ่าน LDAP
  • CVE-2024-12511 (คะแนน CVSS: 7.6) - การโจมตีแบบ Pass-back ผ่าน Address book ของผู้ใช้

ช่องโหว่ CVE-2024-12510 หากถูกโจมตีสำเร็จ อาจทำให้ข้อมูลการยืนยันตัวตนถูกเปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์ที่เป็นอันตราย และทำให้ข้อมูล credentials รั่วไหลได้ อย่างไรก็ตาม การโจมตีนี้จำเป็นต้องให้ผู้โจมตีสามารถเข้าถึงหน้าการตั้งค่า LDAP และต้องมีการใช้ LDAP สำหรับการยืนยันตัวตนก่อน

ส่วนช่องโหว่ CVE-2024-12511 ก็เป็นช่องโหว่ในลักษณะเดียวกัน ที่จะช่วยให้ผู้โจมตีสามารถเข้าถึงการตั้งค่า Address book ของผู้ใช้ได้ เพื่อเปลี่ยนแปลง IP address ของเซิร์ฟเวอร์ SMB หรือ FTP ให้ชี้ไปยังเครื่องที่อยู่ภายใต้การควบคุมของผู้โจมตี ส่งผลให้ข้อมูล credentials สำหรับการยืนยันตัวตนผ่าน SMB หรือ FTP ถูกดักจับระหว่างการสแกนไฟล์ได้

Heiland ระบุว่า "สำหรับการโจมตีลักษณะนี้ให้สำเร็จได้นั้น ผู้โจมตีจะต้องมีการกำหนดค่าฟังก์ชั่นสแกน SMB หรือ FTP ไว้ใน Address book ของผู้ใช้ และต้องมีการเข้าถึงหน้าควบคุมบนเครื่องพิมพ์ หรือเข้าถึงคอนโซลควบคุมจากระยะไกลผ่านเว็บอินเตอร์เฟซ โดยการโจมตีนี้อาจจะต้องใช้สิทธิ์ของผู้ดูแลระบบ (Admin Access) เว้นแต่ว่าการเข้าถึงคอนโซลควบคุมจากระยะไกลในระดับผู้ใช้จะถูกเปิดใช้งานอยู่

หลังจากมีการเปิดเผยช่องโหว่ดังกล่าวเมื่อวันที่ 26 มีนาคม 2024 ทาง Xerox ได้แก้ไขช่องโหว่เหล่านี้ใน Service Pack เวอร์ชั่น 57.75.53 ซึ่งได้ปล่อยออกมาเมื่อปลายเดือนที่แล้วสำหรับเครื่องพิมพ์ VersaLink รุ่น C7020, 7025 และ 7030

หากไม่สามารถอัปเดตแพตช์ได้ทันที แนะนำให้ผู้ใช้ดำเนินมาตรการดังต่อไปนี้ :

  • ตั้งรหัสผ่านสำหรับบัญชีผู้ดูแลระบบให้มีความซับซ้อนมากขึ้น
  • หลีกเลี่ยงการใช้บัญชี Windows Authentication ที่มีสิทธิ์ระดับสูง
  • ปิดการใช้งาน remote-control console สำหรับผู้ใช้งานที่ไม่ได้รับการยืนยันตัวตน

Peyton Smith ผู้ก่อตั้งและ CEO ของ Specular ยังได้เปิดเผยรายละเอียดเกี่ยวกับช่องโหว่ SQL injection ที่ไม่ต้องผ่านการยืนยันตัวตน โดยส่งผลกระทบต่อซอฟต์แวร์ด้านสาธารณสุขที่มีการใช้งานอย่างแพร่หลายในชื่อ HealthStream MSOW (CVE-2024-56735) ช่องโหว่นี้อาจนำไปสู่การเข้าถึงฐานข้อมูลทั้งหมด ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูล sensitive data ของ 23 องค์กรด้านสาธารณสุขจากอินเทอร์เน็ตได้

โดยบริษัทระบุว่า พวกเขาพบ 50 instances ของ MSOW ที่ถูกเปิดให้เข้าถึงได้บนอินเทอร์เน็ต โดยมี 23 instances ที่มีความเสี่ยงต่อช่องโหว่นี้

Smith อธิบายว่า "ช่องโหว่นี้อาจทำให้ฐานข้อมูลทั้งหมดสามารถถูกดึงกลับมาได้แบบ in-band ซึ่งหมายความว่าผู้โจมตีสามารถดึงข้อมูลจากฐานข้อมูลในรูปแบบ plaintext ผ่าน HTTP response ที่เกิดจากคำสั่ง SQL injection ที่ถูกสร้างขึ้นมาโดยเฉพาะได้"

ที่มา : thehackernews.com