Xerox VersaLink C7025 MFP の脆弱性 CVE-2024-12510／12511 が FIX：認証情報の漏洩

Xerox VersaLink C7025 Multifunction printer flaws may expose Windows Active Directory credentials to attackers

2025/02/18 SecurityAffairs — Xerox Versalink C7025 MFP (Multifunction printers) に存在する脆弱性を、Rapid7 の研究者たちが発見した。この脆弱性の悪用に成功した攻撃者は、LDAP および SMB/FTP サービス経由のパスバック攻撃により、認証資格情報を不正に取得できるという。LDAP パスバック脆弱性 CVE-2024-12510 と、SMB / FTP パスバック脆弱性 CVE-2024-12511 が特定されている。

これらの脆弱性が影響を及ぼす範囲は、Xerox Versalink MFP およびファームウェアの、バージョン 57.69.91 以下となる。

Rapid7 が公開したレポートには、「Xerox Versalink C7025 の調査中に、Versalink MFP デバイスがパスバック攻撃に対して脆弱であることを発見した。このパスバック・スタイルの攻撃は、MFP のコンフィグを変更する脅威アクターに対して、脆弱性 CVE-2024-12510／12511 の悪用を許し、MFP デバイスから認証資格情報を送り返すという結果を導くものだ。このスタイルの攻撃により、LDAP／SMB／FTP などのコンフィグ済みサービスから、認証データが不正に取得されてしまう」と記されている。

以下は、この２つの脆弱性の説明である：

LDAP 経由のパスバック攻撃：CVE-2024-12510 (CVSS：6.7)：LDAP コンフィグ・ページにアクセスできる攻撃者は、LDAP サーバの IP アドレスを不正なシステムに変更し、制御されているホストに対して認証を行う LDAP ルックアップをトリガーできる。続いて、ポート・リスナーを実行することで、クリアテキストの LDAP 資格情報を取得できる。この攻撃を実行する前提としては、MFP プリンターの管理者アカウントと、コンフィグ済の LDAP サービスへのアクセスが必要となる。

ユーザーのアドレス帳経由のパスバック攻撃 – SMB / FTP：CVE-2024-12511 (CVSS：7.6)：ユーザーのアドレス帳のコンフィグを変更する攻撃者は、SMB／FTP スキャンの結果を制御下のホストにリダイレクトし、認証資格情報を不正に取得できる。それにより、SMB リレー攻撃の NetNTLMV2 ハンドシェイクの傍受や、クリアテキストの FTP 認証情報の取得などが可能になる。この攻撃の前提として、SMB／FTP スキャン機能の設定と、プリンタ・コンソールまたは Web インターフェイスへのアクセスが必要となり、さらに、管理者権限が必要になる場合もある。

Rapid7 のレポートは、「これらの問題を適格に悪用できる攻撃者であれば、Windows Active Directory の認証情報を取得できるようになる。つまり、組織の環境内で横方向に移動し、他の重要な Windows サーバやファイル・システムを侵害する可能性を手にする」と結論付けている。

Xerox VersaLink C7025 MFP を使用している組織に対して、強く推奨されるのは、最新のファームウェアへのアップデートである。なお、速やかにパッチ適用できない場合には、強力な管理者パスワードを設定し、LDAP／SMB への高権限 Windows アカウントの付与を避け、認証されていないリモート・アクセスを無効化する必要がある。

Pass-Back Attacks という、あまり見慣れない攻撃手法が登場しました。MFP の認証情報を窃取するものであり、本文中でも取り上げられている研究者のレポートによると、Ricoh／SHARP 製の MFP に対しても有効であったことが確認されているとのことです。よろしければ、MFP で検索も、ご参照ください。