Xerox kämpft weiterhin mit Sicherheitslücken in seinen Druckern

Erneut sind Schwachstellen in Druckern von Xerox gefunden worden. Wissenschaftler des Fraunhofer-Instituts für Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) haben sie entdeckt. Wie schon bei früheren Sicherheitslücken kann darüber eine manipulierte Konfigurationsdatei eingeschleust werden. Sie erlaubt unbefugten Dritten dann weitreichenden Zugriff. Schwerwiegende und häufig lange unentdeckte Attacken auf Firmennetzwerke können so einfach durchgeführt werden. Ein Grund dafür ist auch, dass in Unternehmen zahlreiche Dokumente mit vertraulichen Daten zum Ausdruck an Drucker geschickt werden. Überdies werden Druckgeräte in traditionellen Sicherheitskonzepten oft nicht oder nur unzureichend berücksichtigt.

Die nun von den Fraunhofer-Wissenschaftlern entdeckte Anfälligkeit (PDF) nutzt ähnliche Angriffswege wie ein schon 2012 von Deral Heiland veröffentlichter Proof of Concept (PoC). Heiland nutzte damals eine Schwachstelle im Update-Mechanismus von Xerox-Druckern aus und erklärte 2013 in dem Whitepaper “From Patched to Pwned” (PDF) die Hintergründe. Das Fraunhofer FKIE konnte jetzt demonstrieren, dass die damals enthüllte Sicherheitslücke sich bei einigen Modellen von Xerox auch heute noch missbrauchen lässt. Darüber hinaus fanden sie auch noch Wege, Geräte wie den Xerox Phaser 6700, welche mit aktualisierter Firmware kommen, erfolgreich zu attackieren.

“Mittels vergleichbar gelagerter Angriffswege konnte jedoch auch die neueste Firmware in bestimmten Konstellationen angegriffen werden. Im Zuge der Analysen hat sich weiter gezeigt, dass die Nutzerauthentifizierung nicht an allen Stellen fehlerfrei arbeitet. So ist es unter Umständen möglich, manipulierte Konfigurationsdateien einzuspielen, wenn dies eigentlich durch ein Admin-Passwort verhindert werden sollte. Ferner kann durch eine weitere Lücke beliebiger Code durch diese manipulierten Konfigurationsdateien ausgeführt werden”, teilen die Forscher mit.

Damit hadert Xerox nun schon seit zehn Jahren mit Sicherheitslücken in seinen Druckern. Schon 2006 war es dem US-Sicherheitsspezialisten Brendan O’Connor gelungen, auf der Black-Hat-Konferenz die Kontrolle über ein Xerox-Gerät zu übernehmen. Mit dem gehackten Drucker war es möglich, den Aufbau des Firmennetzwerks auszuspähen, und so wertvolle Informationen für weitere Angriffe zu ergattern. Außerdem hatte er Zugang zu allen Dokumenten, die auf dem Gerät ausgedruckt, kopiert oder per Fax verschickt wurden. Nicht zuletzt ließ sich auch der Seitenzähler manipulieren.

Die EU-Agentur für “European Network and Information Security (ENISA)” wies schließlich 2008 darauf hin, dass Drucker und Kopierer mit Internetzugang eine potenzielle Sicherheitslücke in Unternehmensnetzwerken darstellen. Gegebenenfalls sei es Hackern darüber möglich, Informationen auszuspionieren und Kundendaten zu erbeuten. Die Agentur rief Firmen dazu auf, dieses Risiko nicht zu unterschätzen. Mit Besorgnis wies sie darauf hin, dass sich laut einer Umfrage damals gerade einmal die Hälfte der europäischen Firmen mit Maßnahmen auseinandergesetzt hatte, um den Missbrauch von Drucker- und Kopiergeräten zu verhindern. Vorwiegend handelte es sich dabei jedoch um Maßnahmen, um den physischen Zugang zu Ausdrucken für Unbefugte zu unterbinden.

Dass die Warnungen der ENISA nicht aus der Luft gegriffen waren, zeigte sich im Jahr darauf, als eine Lücke in HP-Druckern offengelegt wurde: Unbefugte hatten durch eine Directory-Traversal-Lücke Zugang zum integrierten Webserver in den HP-Geräten, konnten Pfadangaben manipulieren und bekamen dadurch Zugriff auf beliebige Dateien und Verzeichnisse.

Im Februar 2012, also noch bevor Deral Heiland seinen Proof of Concept veröffentlicht hatte, kündigte Xerox dann an durch eine Technologiepartnerschaft mit Cisco und McAfee (das heute zu Intel gehört) seine Druckgeräte in Firmen absichern zu wollen. Einseits sollte hierzu die Cisco-Lösung TrustSec zur Verwaltung von Zugriffsrechten die Xerox-Druckgeräte – so wie andere Endgeräte auch – einbeziehen. Außerdem sollte Software von McAfee in Endgeräte von Xerox integriert werden. Über ein Whitelisting-Verfahren wollten die Partner sichergehen, dass nur erlaubte Dateien gemäß den geltenden Regeln ausgegeben werden. So lange aber in der Firmware offenbar grundlegende Fehler und Schwächen stecken, bleiben die Bemühungen auf höheren Ebenen letztendlich nur Kosmetik.

[mit Material von Peter Marwan, silicon.de]

 Loading ...