Опубликован PoC захвата контроля над принтером Xerox через RCE-уязвимость

Опубликован PoC захвата контроля над принтером Xerox через RCE-уязвимость

Опубликован PoC захвата контроля над принтером Xerox через RCE-уязвимость

Раскрыты детали уязвимости в принтерах Xerox, которая позволяет повысить права админа до root и полностью скомпрометировать сетевое устройство. Обновления прошивок и патчи доступны на сайте производителя.

Проблема CVE-2024-6333 (7,2 балла CVSS) актуальна для МФУ семейств EC80xx, AltaLink, VersaLink, WorkCentre. Список затронутых моделей и новых прошивок представлен в бюллетене Xerox (PDF).

По словам авторов опасной находки, эксплойт возможен при наличии доступа уровня админа к веб-интерфейсу и позволяет удаленно выполнить любой код с правами суперпользователя. В случае успеха злоумышленник получит возможность выполнять системные команды и захватить контроль над уязвимым устройством.

Служба сетевой диагностики, доступная через веб-интерфейс Xerox и используемая для устранения отказов, построена на базе анализатора трафика tcpdump. При этом пользователь может применять кастомные фильтры по IP и сервисам.

 

Проверка вводимых значений IPv4, как выяснилось, реализована некорректно; из-за этого появилась возможность инъекции системных команд, в том числе команд обратного шелла. Поскольку tcpdump запускается с привилегиями root, автор атаки сможет получить полный доступ к принтеру Xerox.

Данная уязвимость менее опасна, чем та, что объявилась в устройствах этого производителя, и не только, три года назад. Проблема CVE-2021-3438 позволяла обычному пользователю повысить привилегии до SYSTEM и выполнить сторонний код в режиме ядра. Тем не менее пользователям продуктов Xerox настоятельно советуют обновить прошивки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Северокорейские Android-смартфоны оказались инструментом тотальной слежки

Ютубер Арун Майни, автор канала MrWhosetheboss, получил в руки редкость — два настоящих северокорейских смартфона — и показал, насколько глубоко государство контролирует устройства своих граждан. Эти аппараты, по задумке властей, не должны были попасть за пределы страны, но теперь можно увидеть, как устроена цифровая жизнь в одном из самых закрытых режимов мира.

В ролике под названием «Testing North Korea’s illegal smartphones» Майни разбирает два телефона: простой бюджетный аппарат и модель покруче — «Samtaesung 8».

Оба работают на Android 10 и 11, но это лишь видимость нормальной ОС. Фактически это полностью переработанные версии ОС, где каждый элемент подчинён цензуре, пропаганде и тотальному наблюдению.

Первое, что бросается в глаза, — невозможность писать «неправильные» слова. Попытка ввести «Южная Корея» автоматически превращается в «марионеточное государство», а упоминание современного сленга или популярных корейских шоу вызывает предупреждения или замену текста на разрешённые формулировки. Некоторые слова система просто блокирует.

 

Интернета на телефонах в привычном смысле нет. Вместо него — закрытая интрасеть с государственными сайтами. Даже время нельзя поменять: часовой пояс, дата и синхронизация полностью контролируются режимом.

Большинство приложений — муляжи. Есть браузер, камера, календарь и музыкальный плеер, но это кастомные версии, вшитые в информационный пузырь. Некоторые программы не открываются, другие показывают только пропаганду. Развлечения тоже под контролем: на телефонах обнаружены разрешённые игры, российские и индийские фильмы, а также биографические материалы о лидерах КНДР.

Установить новые приложения самостоятельно невозможно. Для этого нужно прийти в официальный магазин, где сотрудник поставит программу вручную, причём её работа будет ограничена по времени. Файлы и фото автоматически подписываются цифровой меткой, а любое «чужое» содержимое удаляется.

Самое тревожное — система скрытого наблюдения. Телефон делает скриншот каждый раз, когда пользователь открывает приложение. В итоге на устройстве хранится полная визуальная история действий владельца. Передать фото или файлы нельзя, Bluetooth заблокирован, а менеджер файлов почти никуда не пускает.

Всё это превращает смартфон из личного устройства в инструмент контроля. Как подытоживает Майни, в Северной Корее сама идея персонального гаджета попросту отсутствует — телефоны созданы не для пользователя, а для государства.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru