Recientemente, se han descubierto vulnerabilidades críticas de seguridad en las impresoras multifunción (MFP) Xerox VersaLink C7025 que podrían poner en peligro las credenciales de autenticación de las organizaciones. Estos fallos, que afectan a varias versiones del firmware de estas impresoras, permiten a los atacantes llevar a cabo ataques de «devolución» utilizando el Protocolo Ligero de Acceso a Directorios (LDAP) y servicios como SMB/FTP. Este tipo de vulnerabilidades pone en riesgo la integridad de las redes y sistemas informáticos de las empresas, ya que podrían ser utilizadas para capturar credenciales y ejecutar movimientos laterales dentro del entorno informático de la organización.
¿Cómo Funcionan los Ataques de Devolución en las Impresoras Multifunción Xerox VersaLink C7025?
Los ataques de «devolución», también conocidos como ataques pass-back, aprovechan fallos en la configuración de las impresoras multifunción. Según el investigador de seguridad de Rapid7, Deral Heiland, estos ataques permiten que un atacante malicioso altere la configuración de la impresora multifuncional, provocando que el dispositivo envíe credenciales de autenticación a un servidor controlado por el atacante.
Este tipo de ataque es particularmente peligroso, ya que podría permitir a un actor malicioso capturar credenciales relacionadas con Windows Active Directory. En términos prácticos, esto le otorgaría al atacante acceso a otras áreas de la red interna de la empresa, lo que les permitiría comprometer servidores adicionales y sistemas de archivos críticos. La capacidad de moverse lateralmente dentro de la infraestructura de la organización es uno de los principales riesgos asociados con estas vulnerabilidades.
Vulnerabilidades Específicas en las Impresoras Multifunción Xerox VersaLink C7025
Se han identificado dos vulnerabilidades específicas en el firmware de las impresoras Xerox VersaLink C7025, que afectan a las versiones de firmware 57.69.91 y anteriores. Estas vulnerabilidades están asociadas con los siguientes CVEs:
-
CVE-2024-12510 (Puntuación CVSS: 6.7): Esta vulnerabilidad se produce a través de un ataque de devolución mediante el uso del Protocolo Ligero de Acceso a Directorios (LDAP). Si se explota correctamente, puede redirigir las credenciales de autenticación a un servidor no autorizado, exponiendo las credenciales a los atacantes. Para que esta vulnerabilidad sea explotada, el atacante debe tener acceso a la página de configuración de LDAP, y LDAP debe estar configurado para la autenticación.
-
CVE-2024-12511 (Puntuación CVSS: 7.6): Esta vulnerabilidad afecta a la libreta de direcciones del usuario. Permite que un atacante malicioso modifique la configuración de la impresora para cambiar la dirección IP del servidor SMB o FTP, redirigiendo las credenciales de autenticación a un servidor bajo su control. Esto ocurre durante las operaciones de escaneo de archivos, lo que permite que los atacantes capturen las credenciales asociadas con SMB o FTP.
¿Cómo Puede un Atacante Explotar Estas Vulnerabilidades?
Para explotar estas vulnerabilidades, el atacante necesita configurar un ataque de escaneo SMB o FTP en la libreta de direcciones del usuario. Además, debe obtener acceso físico a la consola de la impresora o acceso remoto a través de la interfaz web de control de la impresora. Según Heiland, para que este ataque sea exitoso, el atacante generalmente necesitará privilegios de administrador, a menos que se haya habilitado un acceso a nivel de usuario para la consola de control remoto.
La explotación de estas vulnerabilidades podría tener consecuencias graves, ya que proporcionaría a los atacantes acceso a información sensible, lo que podría llevar a un compromiso completo de la infraestructura tecnológica de la organización.
Soluciones y Recomendaciones para Mitigar los Riesgos
Afortunadamente, Xerox ha abordado estas vulnerabilidades en la nueva actualización del firmware, lanzada a fines de enero de 2024. El Service Pack 57.75.53 cubre las impresoras de las series VersaLink C7020, C7025 y C7030, corrigiendo estos problemas de seguridad.
Si la actualización inmediata del firmware no es posible, existen algunas medidas preventivas que pueden reducir el riesgo de explotación de estas vulnerabilidades:
-
Contraseñas Complejas para la Cuenta de Administrador: Es fundamental que las impresoras tengan contraseñas fuertes y únicas para la cuenta de administrador. Esto evitará que los atacantes puedan acceder fácilmente al sistema.
-
Deshabilitar la Consola de Control Remoto para Usuarios No Autenticados: Para limitar el acceso remoto no autorizado, es recomendable deshabilitar la consola de control remoto en las impresoras para los usuarios no autenticados. Esto minimiza las posibilidades de que los atacantes puedan explotar las vulnerabilidades a través de la interfaz web.
-
Evitar el Uso de Cuentas de Windows con Privilegios Elevados: Es importante evitar el uso de cuentas de autenticación de Windows con privilegios elevados, ya que estas cuentas pueden ser objetivo de los atacantes para obtener acceso a otras partes críticas de la red.
El Riesgo de las Vulnerabilidades en las Impresoras Multifunción
Las vulnerabilidades descubiertas en las impresoras multifunción Xerox VersaLink C7025 son un recordatorio de la importancia de mantener actualizados todos los dispositivos de red, incluidos los periféricos como impresoras y escáneres. Un compromiso de credenciales de autenticación podría tener repercusiones devastadoras, permitiendo que los atacantes se deslicen lateralmente a través de la infraestructura de la organización y comprometan sistemas críticos.
Las organizaciones deben tomar medidas inmediatas para aplicar los parches de seguridad disponibles y adoptar buenas prácticas de seguridad, como el uso de contraseñas complejas y la restricción de accesos remotos, para mitigar el riesgo de estos ataques.
Otras Amenazas de Seguridad en el Entorno Tecnológico
Este desarrollo llega en un momento en que la ciberseguridad es una prioridad para todas las empresas. A la par de las vulnerabilidades descubiertas en las impresoras Xerox, también se ha dado a conocer una grave vulnerabilidad en el software de atención médica HealthStream MSOW (CVE-2024-56735), que expone a 23 organizaciones de atención médica a riesgos significativos. La explotación de estas vulnerabilidades podría permitir a los atacantes acceder a bases de datos confidenciales y comprometer la información sensible de los pacientes.
Este tipo de incidentes subraya la necesidad de estar atentos a las amenazas en todos los dispositivos y sistemas dentro de una red corporativa. Las organizaciones deben estar preparadas para reaccionar rápidamente a las vulnerabilidades descubiertas y asegurarse de que se implementen parches y medidas de protección adecuadas en todo momento.
Fuente: The Hacker News
