CERT-FI haavoittuvuustiedote 081/2009

25.8.2009

Haavoittuvuus Xerox WorkCentre -tuotteissa


Kohde:	- sulautetut järjestelmät	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Xerox WorkCentre -monitoimilaitteista on löytynyt palvelunestohyökkäyksen mahdollistava haavoittuvuus. Haavoittuvuus johtuu muistivuodosta, joka liittyy laitteiden tapaan käsitellä ylipitkiä jonojen nimiä sisältäviä LPD-pyyntöjä samanaikaisesti muiden käyttäjän tai hyökkääjän lähettämien pyyntöjen kanssa. Haavoittuvuutta hyväksikäyttääkseen hyökkääjällä on oltava pääsy haavoittuvan laitteen LPD-palveluun.

CERT-FI on koordinoinut haavoittuvuuden julkaisun haavoittuvuuden löytäjän ja haavoittuvan tuotteen valmistajan välillä. CERT-FI kiittää Louhi Networksin Henri Lindbergiä ja Juho Rantaa haavoittuvuuden raportoinnista, ja Xeroxia yhteistyöstä haavoittuvuuden korjaamisessa.

HAAVOITTUVAT OHJELMISTOT:

Xerox WorkCentre 7132
Xerox WorkCentre 7232 ja 7242
Xerox WorkCentre 7328, 7335, 7345 ja 7346
Xerox WorkCentre 7425, 7428 ja 7435

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Raportoidut haavoittuvuudet on korjattu seuraavien mallien uusimmissa ohjelmistoversioissa:

Xerox WorkCentre 7232 ja 7242
http://www.support.xerox.com/go/results.asp?Xtype=download&prodID=WC7232_WC7242&Xlang=en_US&Xcntry=USA

Xerox WorkCentre 7328, 7335, 7345 ja 7346
http://www.support.xerox.com/go/results.asp?Xtype=download&prodID=WC7328_WC7335_WC7345&Xlang=en_US&Xcntry=USA (korjattu versio ei vielä saatavilla)

Xerox WorkCentre 7425, 7428 ja 7435
http://www.support.xerox.com/go/results.asp?Xtype=download&prodID=WC7425_WC7428_WC7435&Xlang=en_US&Xcntry=USA (korjattu versio ei vielä saatavilla)

Haavoittuvuutta voi myös rajoittaa estämällä pääsy LPD-palveluun muualta kuin luotetuista verkoista.

LISÄTIETOA:

PÄIVITYSHISTORIA:

25.8.2009, kello 15.00: Julkaistu
31.8.2009, kello 10.20: Lisätty CVE-numero

Sivua päivitetty 31.08.2009

Tulostusversio