CVE-2022-45796

Command injection w SHARP MFP — zdalne wykonanie poleceń przez nw_interface.html

CVSS 9.1v3.1pub. 2022-12-16upd. 2024-11-21

Podatność typu command injection w plikach nw_interface.html wielofunkcyjnych drukarek SHARP (MFP) pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemowych. Wysoki wynik CVSS 9.1 wynika z braku konieczności interakcji użytkownika i możliwości ucieczki poza granice systemu (Scope: Changed).

▸ Pokaż oryginał (EN)

Command injection vulnerability in nw_interface.html in SHARP multifunction printers (MFPs)'s Digital Full-color Multifunctional System 202 or earlier, 120 or earlier, 600 or earlier, 121 or earlier, 500 or earlier, 402 or earlier, 790 or earlier, and Digital Multifunctional System (Monochrome) 200 or earlier, 211 or earlier, 102 or earlier, 453 or earlier, 400 or earlier, 202 or earlier, 602 or earlier, 500 or earlier, 401 or earlier allows remote attackers to execute arbitrary commands via unspecified vectors.

🤖 Analiza AI

Jak działa

Podatność zlokalizowana jest w interfejsie webowym urządzenia — konkretnie w pliku nw_interface.html. Atakujący z uprawnieniami administracyjnymi dostępnymi przez sieć może przesłać spreparowane dane wejściowe, które są przekazywane do wywołań systemowych bez odpowiedniej walidacji i filtrowania (CWE-77). W efekcie nieznane bliżej wektory wejściowe umożliwiają wstrzyknięcie i wykonanie arbitralnych poleceń w kontekście systemu operacyjnego urządzenia.

Skutki

Atakujący może wykonać dowolne polecenia na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad drukarką MFP, ujawnienia przetwarzanych danych (np. skanowanych dokumentów) oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://global.sharp/products/copier/info/info_security_2022-11.html). Dodatkowo zaleca się ograniczenie dostępu do interfejsu webowego urządzeń MFP wyłącznie do zaufanych sieci/hostów oraz wymuszenie silnego uwierzytelnienia dla kont administracyjnych.

Kogo dotyczy

Wielofunkcyjne drukarki SHARP (MFP) z serii Digital Full-color Multifunctional System w wersjach oprogramowania: 202 lub wcześniejsze, 120 lub wcześniejsze, 600 lub wcześniejsze, 121 lub wcześniejsze, 500 lub wcześniejsze, 402 lub wcześniejsze, 790 lub wcześniejsze; oraz Digital Multifunctional System (Monochrome) w wersjach: 200 lub wcześniejsze, 211 lub wcześniejsze, 102 lub wcześniejsze, 453 lub wcześniejsze, 400 lub wcześniejsze, 202 lub wcześniejsze, 602 lub wcześniejsze, 500 lub wcześniejsze, 401 lub wcześniejsze. Modele wymienione w metadanych: Sharp BP-30C25, BP-30C25T i ich firmware.

Uwagi

Podatność została ujawniona przez zespół zuso.ai (ZA-2022-01) i zgłoszona za pośrednictwem japońskiej bazy JVN (JVNVU96195138). Informacja o podatności pojawiła się również na liście Full Disclosure w lipcu 2024 roku.