Red TIM research trova 3 bug sulle stampanti Olivetti/Kyocera che sono state prontamente risolte

Massimiliano Brolli : 29 Aprile 2022 07:41

Nell’ambito delle attività di ricerca svolte dal laboratorio di TIM, il Red Team Research sono stati rilevati 3 nuovi bug 0day sulla stampante top di gamma Kyocera d-COLOR MF3555, rivendute dalla Olivetti sul mercato italiano, che sono state prontamente risolte dall’azienda Kyocera.

Cosa viene riportato sul sito della Olivetti

Le stampanti multifunzione, A3 a colori, d-Color MF2555 e MF3555 sono pensate per operare in ambienti di lavoro moderni e dinamici, dove sono richiesti elevati standard di affidabilità, di qualità e di sicurezza.

Il lavoro è reso semplice e fluido grazie al pannello operatore tattile, a colori da 10,1 pollici con una nuova interfaccia utente moderna ed intuitiva.

Una straordinaria gamma di opzioni di scansione, tra cui il velocissimo alimentatore con scansione in fronte retro a singolo passaggio capace di acquisire fino a 200 pagine al minuto, e numerose opzioni di finitura, garantiscono ottimi livelli di produttività.

L’eccezionale qualità delle immagini stampante e le diverse opzioni di finitura, consentono la realizzazione di lavori complessi, garantendo sempre un’elevata qualità.

d-Color MF2555-MF3555 rispettano i più recenti requisiti di sicurezza, grazie a funzionalità integrate di alto livello che garantiscono la tutela dei dati sensibili e mettono al sicuro il dispositivo da potenziali minacce informatiche.

Le vulnerabilità rilevate

Da quanto si legge dal sito istituzionale https://www.gruppotim.it/redteam, nell’ambito delle attività svolte dal laboratorio, i ricercatori, Mattia Campanelli, Luca Carbone, Vincenzo Nigro, una volta individuate queste vulnerabilità, hanno immediatamente avviato il percorso di Coordinated Vulnerability Disclosure (CVD) assieme a Massimiliano Brolli, alla guida del progetto, effettuando la pubblicazione solo a valle della produzione delle fix da parte del produttore.

Di seguito le informazioni relative alle CVE individuate.

• CVE-2022-25344
  • Vulnerability Description: CWE-79: Cross-Site Scripting Stored
  • Software Version: Firmware 2XD_S000.002.271
  • NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-25344
  • CVSv3: 6.1
  • Severity: Medium
  • Credits: Mattia Campanelli, Luca Carbone, Massimiliano Brolli
  • An issue was discovered on Kyocera d-COLOR MF3555 2XD_S000.002.271 devices. The Web Application doesn’t properly check parameters, sent in a /dvcset/sysset/set.cgi POST request via the arg01.Hostname field, before saving them on the server. In addition, the JavaScript malicious content is then reflected back to the end user and executed by the web browser.
• CVE-2022-25343
  • Vulnerability Description: CWE-400: Denial of Service
    Software Version: Firmware 2XD_S000.002.271
    NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-25343
    CVSv3: 7,5
    Severity: High
    Credits: Mattia Campanelli, Luca Carbone, Massimiliano Brolli
  • An issue was discovered on Kyocera d-COLOR MF3555 2XD_S000.002.271 devices. The Web Application is affected by Denial of Service. An unauthenticated attacker, who can send POST requests to the /download/set.cgi page by manipulating the failhtmfile variable, is able to cause interruption of the service provided by the Web Application.
• CVE-2022-25342
  • Vulnerability Description: CWE-284: Improper Access Control
    Software Version: Firmware 2XD_S000.002.271
    NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-25342
    CVSv3: 
    Severity: 
    Credits: Vincenzo Nigro, Massimiliano Brolli
  • An issue was discovered on Kyocera d-COLOR MF3555 2XD_S000.002.271 devices. The Web Application is affected by Broken Access Control. It does not properly validate requests for access to data and functionality under the /mngset/authset path. By not verifying permissions for access to resources, it allows a potential attacker to view pages that are not allowed.

Queste attività di ricerca, denotano una importante attenzione da parte dell’azienda ai prodotti commercializzati dalle aziende del gruppo, come Olivetti.

Infatti è raro nel panorama italiano vedere aziende che svolgono attività di bug-hunting su un prodotto acquistato da altri fornitori, prima di brandizzarlo ed immetterlo nel mercato.

Il Red Team Research di TIM

Si tratta di uno tra i pochi centri italiani di ricerca industriali in ambito di bug di sicurezza, dove da diverso tempo vengono effettuate attività di “bug hunting” che mirano alla ricerca di vulnerabilità non documentate. Le attività condotte dal team, portano ad una successiva emissione di CVE sul National Vulnerability Database degli Stati Uniti D’America, terminato il percorso di Coordinated Vulnerability Disclosure (CVD) con il vendor del prodotto.

Nel corso dei due anni di attività, abbiamo visto il laboratorio, rilevare moltissimi bug 0-day su prodotti molto diffusi di big vendor di valenza internazionale, come ad esempio Oracle, IBM, Ericsson, Nokia, Computer Associates, Siemens, QNAP, Johnson & Control, Schneider Electric, oltre ad altri fornitori su tipologie differenti di architetture software/hardware.

Nel corso di due anni sono stati emessi oltre 60 CVE, dei quali 4 con severity Critical (9,8 di score CVSSv3), 23 di severity High e 36 di severity Medium.

Relativamente ad una vulnerabilità rilevata dal gruppo di ricerca sul prodotto Metasys Reporting Engine (MRE) Web Services, del fornitore Johnson & Control, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti D’America, ha emesso un avviso di sicurezza riportando come Background i settori quali: “CRITICAL INFRASTRUCTURE SECTORS, COUNTRIES/AREAS DEPLOYED e COMPANY HEADQUARTERS LOCATION”.

Si tratta di una realtà tutta italiana che emette una CVE ogni 6 giorni lavorativi di media, contribuendo in maniera fattiva alla ricerca delle vulnerabilità non documentate a livello internazionale, che si sta distinguendo a livello paese sull’elevata caratura delle attività svolte, oltre a contribuire all’innalzamento dei livelli di sicurezza dei prodotti utilizzati da organizzazioni e singole persone.