idw – Informationsdienst Wissenschaft
Nachrichten, Termine, Experten
Nachrichten, Termine, Experten
Wissenschaftler des Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie FKIE finden Sicherheitslücken in XEROX Drucker. Dadurch ist es möglich manipulierte Konfigurationsdateien einzuspielen. Die Ergebnisse wurden in einem Whitepaper veröffentlicht.
http://www.fkie.fraunhofer.de/content/dam/fkie/de/documents/forschungsbereiche/x...
Täglich werden in Büros tausende Dokumente auf Netzwerkdruckern ausgedruckt. Über das Firmennetzwerk gelangt der Druckauftrag zum Drucker, wird dort zwischengespeichert und ausgedruckt. Somit verarbeiten sie nicht nur sensible Unternehmensinformationen sondern haben auch weitreichenden Zugriff im internen Netzwerk. Gelingt es Angreifern einen solchen Drucker zu kontrollieren können daher schwerwiegende Angriffe auf das Unternehmensnetzwerk durchgeführt werden. Erschwerend kommt hinzu, dass Drucker oftmals nur eingeschränkt in Sicherheitskonzepten berücksichtigt werden.
Bereits 2012 veröffentlichte Deral Heiland einen Proof of Concept (PoC), der eine Sicherheitslücke im Update-Mechanismus einiger Xerox-Drucker demonstriert. Ergänzt wurde der PoC 2013 durch das Paper „From Patched to Pwned“ in dem die Hintergründe erläutert wurden. Fraunhofer FKIE konnte zeigen, dass die damalige Sicherheitslücke auch heute noch bei einigen Modellen von Xerox funktioniert. So ist der Xerox Phaser 6700 im Auslieferungszustand angreifbar. In neueren Firmware-Versionen dieses Druckers gibt es einige Änderungen, sodass der ursprüngliche Angriff, wie er von Deral Heiland beschrieben wird, nicht länger funktioniert. Mittels vergleichbar gelagerter Angriffswege, konnte jedoch auch die neuste Firmware in bestimmten Konstellationen angegriffen werden. Im Zuge der Analysen hat sich weiter gezeigt, dass die Nutzerauthentifizierung nicht an allen Stellen fehlerfrei arbeitet. So ist es unter Umständen möglich manipulierte Konfigurationsdateien einzuspielen, wenn dies eigentlich durch ein Admin-Passwort verhindert werden sollte. Ferner kann durch eine weitere Lücke beliebiger Code durch diese manipulierten Konfigurationsdateien ausgeführt werden.
Die Ergebnisse der Analyse hat Fraunhofer FKIE im Whitepaper „PWN Xerox Printers (...again)“ zusammengefasst.
Zum Whitepaper: http://www.fkie.fraunhofer.de/content/dam/fkie/de/documents/forschungsbereiche/x...
Die Arbeiten wurden wesentlich durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt.
Fragen beantwortet:
Raphael Ernst
Fraunhofer FKIE, Abteilung Cyber Analysis & Defense
raphael.ernst@fkie.fraunhofer.de
Redaktion
Timo Wirtz | Telefon +49 228 9435-103 | timo.wirtz@fkie.fraunhofer.de | Fraunhofer-Institut für Kommunikation,
Informationsverarbeitung und Ergonomie FKIE, Fraunhoferstraße 20, 53343 Wachtberg-Werthhoven | www.fkie.fraunhofer.de
http://www.fkie.fraunhofer.de/de/forschungsbereiche/cyber-analysis-and-defense/v... Zum Whitepaper
Criteria of this press release:
Journalists
Economics / business administration, Electrical engineering, Information technology
transregional, national
Research results, Scientific Publications
German
You can combine search terms with and, or and/or not, e.g. Philo not logy.
You can use brackets to separate combinations from each other, e.g. (Philo not logy) or (Psycho and logy).
Coherent groups of words will be located as complete phrases if you put them into quotation marks, e.g. “Federal Republic of Germany”.
You can also use the advanced search without entering search terms. It will then follow the criteria you have selected (e.g. country or subject area).
If you have not selected any criteria in a given category, the entire category will be searched (e.g. all subject areas or all countries).
