CERT-FI haavoittuvuustiedote 074/2010

29.4.2010

Haavoittuvuus Lexmarkin tulostinten http-palvelimessa


Kohde:	- muut	Lisätietoja
Hyökkäystapa:	- etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Lexmarkin useista eri verkkotulostimista on löytynyt kaksi haavoittuvuutta. Tulostinten sisäänrakennetussa http-palvelussa olevien haavoittuvuuksien avulla hyökkääjän on mahdollista aiheuttaa palvelunestotila kaatamalla tulostimen ohjelmisto.

Haavoittuvuuskoordinointi

CERT-FI on koordinoinut heikkouksien julkaisun haavoittuvuuden löytäjän ja Lexmarkin kanssa. CERT-FI kiittää Lexmarkia ja tapauksen raportoinutta Codenomicon Oy:tä yhteistyöstä heikkouksien korjaamisessa.

HAAVOITTUVAT OHJELMISTOT:

Listaus haavoittuvista tulostinmalleista löytyy Lexmarkin tiedotteista

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä tulostimen ohjelmisto valmistajan ohjeiden mukaisesti. Lista ohjelmistoversioista joissa haavoittuvuus on korjattu, löytyy Lexmarkin tiedotteista.

Jos korjattua ohjelmistoa ei ole saatavilla ja tulostimen malli on listattu haavoittuvaksi, haavoittuvuuden vaikutusta voi kiertää poistamalla http-palvelimen käytöstä tulostimessa. Haavoittuvuuden vaikutusta voi kiertää myös rajoittamalla pääsyä portteihin 80, 443, 8000 ja 631 sallimalla pääsyn niihin vain luotetuista IP-osoitteista.

Haavoittuvuuskoordinoinnin yhteystiedot

CERT-FI haavoittuvuuskoordinoinnin tavoittaa seuraavasti:

Sähköposti: vulncoord@ficora.fi

Mainitkaa tapausnumero [FICORA #219761] viestin otsikossa.

Muut yhteystiedot:

https://www.cert.fi/palvelut/yhteystiedot.html

Lisätkää postiosoitteeseen sana haavoittuvuuskoordinointi.

CERT-FI suosittelee PGP- tai SMIME-salauksen käyttöä haavoittuvuuskoordinointiasioita käsiteltäessä. Avaimistomme löytyvät osoitteesta:

https://www.cert.fi/palvelut/yhteystiedot/rooliavaimet.html

CERT-FI:n haavoittuvuuskoordinoinnin periaatteet ovat luettvissa osoitteesta:

https://www.cert.fi/en/activities/Vulncoord/vulncoord-policy.html.