SEIKO EPSON Drucker: Unsichere Passwortkonfiguration in Web Config erlaubt RCE

ad
Wissen
1. Oktober 2024

Table of Contents

In mehreren Produkten von SEIKO EPSON besteht eine Sicherheitslücke in der Web Config-Software, die es Angreifern ermöglicht, ein beliebiges Administrationspasswort zu setzen, wenn das Gerät ohne vorherige Konfiguration mit dem Netzwerk verbunden wird. Dies kann dazu führen, dass ein Angreifer das Gerät mit Administratorrechten fernsteuert. Die Web Config-Software erlaubt es Nutzern, den Status von SEIKO EPSON-Geräten zu überprüfen und deren Einstellungen über einen Webbrowser zu ändern. Wenn das Gerät erstmalig mit dem Netzwerk verbunden wird, wird kein Administrationspasswort festgelegt. Dadurch können Angreifer ein beliebiges Passwort setzen und die Kontrolle über das Gerät erlangen. Ein Angreifer kann die Geräte mit administrativen Rechten steuern, indem er ein eigenes Passwort setzt. Betroffen sind:

EP-Serie:

EP-10VA, EP-306, EP-30VA, EP-4004, EP-50V
EP-706A bis EP-712A
EP-775A, EP-775AW, EP-776A, EP-777A
EP-802A bis EP-804AW
EP-805A bis EP-808AW
EP-810AB bis EP-811AW
EP-879AB bis EP-882AW
EP-901A bis EP-907F
EP-976A3 bis EP-979A3
EP-M552T, EP-M570T

EW-Serie:

EW-052A, EW-452A, EW-M5071FT bis EW-M752TB
EW-M770T, EW-M970A3T

LX-Serie:

LX-10000 bis LX-10050MF
LX-6050M bis LX-7550MF

PX-Serie:

PX-046A bis PX-049A
PX-105 bis PX-5V
PX-601F bis PX-M886FL
PX-S05B bis PX-S885

SC-Serie:

SC-PX1V bis SC-PX7V2
SC-F10050 bis SC-T7255D

LP-Serie:

LP-8200C bis LP-S950

VP-Serie:

VP-D1800N, VP-D800N, VP-F4400N

TM-Serie (Belegdrucker):

TM-T70-i, TM-T88Ⅴ-i

DS-Serie (Scanner):

DS-360W bis DS-780N

Netzwerkinterface-Produkte:

DSBXNW1 bis PRIFNW7U

Es wird dringend empfohlen, ein Administrationspasswort gemäß den Anweisungen in der Security Guidebook des Herstellers festzulegen, um diese Schwachstelle zu beheben. Weitere Informationen sind im JPCERT/CC-Bericht und in der CVE-2024-47295-Datenbank verfügbar.

Tags :

ad
Wissen
September 30, 2024

Eine neue Sicherheitslücke in PHP, entdeckt von Orange Tsai vom DEVCORE Research Team, ermöglicht Angreifern die Remote Ausführung von beliebigem PHP-Code auf verwundbaren Servern. Diese Schwachstelle CVE-2024-4577 betrifft PHP-Installationen, die mit dem Windows-Betriebssystem unter Verwendung von Apache HTTP Server und PHP-CGI betrieben werden. Das Problem liegt in einer Umgehung des Patches für die ältere Schwachstelle CVE-2012-1823 durch die Manipulation der Argumente über die QUERY_STRING.

ad
Wissen
September 30, 2024

Am 27. September 2024 wurde eine kritische Sicherheitslücke in den Laravel-Komponenten von Filament (Filament Infolists und Filament Tables) gemeldet, die Versionen von v3.0.0 bis v3.2.114 betrifft. Die Lücke CVE-2024-47186 ermöglicht Cross-Site Scripting (XSS)-Angriffe, wenn nicht validierte Werte an die ColorColumn oder ColorEntry Komponenten übergeben werden, insbesondere wenn diese Werte bösartige Zeichen enthalten.

ad
Wissen
September 26, 2024

Am 24. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-8275) im WordPress-Plugin „The Events Calendar“ veröffentlicht, die bis zur Version 6.6.4 besteht. Die Schwachstelle ermöglicht eine SQL Injection über den Parameter order der Funktion tribe_has_next_event. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle ausführen und sensible Daten aus der Datenbank extrahieren. Betroffen sind ausschließlich Websites, die die Funktion tribe_has_next_event() manuell eingebunden haben.