BOLLETTINO DI SICUREZZA XEROX XRX07-001

Transcript

1 BOLLETTINO DI SICUREZZA XEROX XRX Bollettino di sicurezz XEROX XRX Ultim revisione: 29/06/07 Il controller di rete/ess present vulnerbilità che, se sfruttte, potrebbero consentire l'esecuzione remot di softwre rbitrrio, l contrffzione di certificti digitli o l'inizio di ttcchi di tipo Denil of Service. Di seguito sono riportte un soluzione softwre (ptch P30) e le istruzioni per instllrl sui prodotti indicti. L ptch può essere instllt direttmente dl cliente. Attenersi lle istruzioni riportte di seguito per instllrl e proteggere il proprio dispositivo d possibili ttcchi provenienti dll rete. L soluzione softwre è compress in un file zip di 990 KB che è possibile ottenere medinte il seguente collegmento: I clienti interessti quest soluzione reltiv ll vulnerbilità dei prodotti elencti di seguito devono innnzitutto ttenersi lle istruzioni di instllzione llegte per verificre di disporre dell degut per poter instllre l ptch. Per i prodotti dell serie WC/WCP 2xx, l del softwre di sistem * o successiv (controller ESS *1031 o successiv) contiene già quest correzione e pertnto non è necessrio instllre l ptch. Leggere le istruzioni di instllzione per conoscere l procedur degut d seguire nel cso in cui l del proprio softwre si inferiore quell indict per ciscuno dei prodotti interessti dl problem. Inoltre, per WorkCentre 7655/7665 se il softwre di sistem non è o (controller di rete *1031 o ), è necessrio rivolgersi un responsbile dell'ssistenz tecnic per eseguire l'ggiornmento dell mcchin l softwre di sistem/net Controller , prim di pplicre l ptch. t: quest ptch di sicurezz è contrssegnt dl codice P30. Un volt instllt l ptch correttmente, l del controller di rete vrà il suffisso.p30 (d esempio, #1172.P30). Si ribdisce che, per i prodotti dell serie WC/WCP 2xx, l del softwre di sistem * o successiv (controller ESS *1031 o successiv) contiene già quest correzione e pertnto non è necessrio instllre l ptch. Rischio Nell'mbito del continuo impegno di Xerox per l protezione dei clienti, sono stte rilevte le seguenti vulnerbilità documentte nel Red Ht Security Advisory RHSA-2006: contro OpenSSL: Controllo improprio dei limiti dell'input utente Gestione impropri delle condizioni di errore Elborzione indegut delle firme digitli Convlid impropri dell lunghezz delle chivi pubbliche Negozizione non protett del protocollo peer-to-peer Tli vulnerbilità nel codice del controller di rete/ess potrebbero consentire un utente non utorizzto di ggirre l'utenticzione e di eseguire softwre rbitrrio in remoto, flsificre le credenzili o inizire ttcchi di tipo Denil of Service nei confronti del dispositivo. 701P47303 Pgin 1 di 5

2 Bollettino di sicurezz XEROX XRX Ultim revisione: 29/06/07 Un utente non utorizzto potrebbe pportre modifiche ll configurzione del sistem. Le pssword del cliente e dell'utente non sono rischio. Prodotti su cui si può utilizzre quest ptch: WorkCentre WorkCentre Pro Soluzione Istruzioni di instllzione me file dell ptch: P30.dlm L ptch può essere instllt sul sistem come descritto nelle istruzioni riportte di seguito. Riepilogo delle versioni e delle procedure: Determinre l inizile del softwre di sistem o l del controller ESS Determinre quli ggiornmenti sono necessri l'ggiornmento dei dispositivi come necessrio Applicre l ptch se necessrio Per WC/WCP 232/238/245/255/265/275 Se l del softwre è SW sistem o Controller ESS 1 D * * D # #1160 Instllre l ptch? Pssggio seguente: l'ggiornmento * Quindi: l rig 8 Nuovo numero del controller di rete/ess: - 2 D * * D # #2250 l'ggiornmento * * #2280 Rivolgersi ll'ssistenz per eseguire l'ggiornmento * o successiv 4 * (con certificzion Criteri) 5 * Certificzion Criteri #1121 l NOTA 1 di seguito #1123 l NOTA 1 di seguito l rig Se l ptch viene pplict, #0115.P30-701P47303 Pgin 2 di 5

3 Bollettino di sicurezz XEROX XRX Ultim revisione: 29/06/07 6 * #0112 l'ggiornmento * o successiv 7 * (con certificzion Criteri) 8 D * * #0115 Sì l NOTA 2 di seguito D # #1022 N/A Cricre l ptch P30 oppure l'ggiornmento * o successiv. - Se l ptch viene pplict, #0115.P30 9 * #1031 N/A completto * e #1031 N/A completto - - NOTA 1: se il softwre di sistem del dispositivo è * o * , il dispositivo h ottenuto l certificzione Common Criteri. È possibile eseguire l'ggiornmento ll x e successivmente cricre l ptch P30 (rig 7 sopr), sebbene questo punto il dispositivo non vrà più un configurzione con certificzion Criteri. NOTA 2: se il softwre di sistem del dispositivo è * , il dispositivo h un configurzione che otterrà presto l certificzion Criteri. Se lo si desider, è possibile cricre l ptch P30 m in questo modo il dispositivo non vrà più un configurzione con certificzion Criteri un volt che l certificzione è stt complett. Per WC 7655/7665 Se l del softwre è SW sistem o Controller di rete 1 D D Instllre l ptch? 701P47303 Pgin 3 di 5 Pssggio seguente: Rivolgersi ll'ssistenz tecnic per eseguire l'ggiornment o ll Sì Cricre l ptch P Sì l con NOTA 1 di certificzione seguito Common Criteri e e Quindi: Cricre l ptch P30 Nuovo numero del controller di rete/ess: P P30 - Se l ptch viene pplict, P30 N/A completto - - NOTA 1: se il softwre di sistem del dispositivo è , il dispositivo h ottenuto l certificzione Common Criteri. Se lo si desider, è possibile cricre l ptch P30 (seguire l rig 2 sopr), m in questo modo il dispositivo non vrà più l certificzion Criteri.

4 Instllzione dell ptch Bollettino di sicurezz XEROX XRX Ultim revisione: 29/06/07 È necessrio scricre l ptch. L ptch è compress in formto ZIP. Scricre il file ZIP dll'url indicto ed estrrre tutto il contenuto sul desktop. n tentre di prire il file con estensione.dlm Si trtt dell ptch e deve essere instllt sul dispositivo multifunzione così com'è. Metodi di instllzione dell ptch L ptch e l'ggiornmento (come l mggior prte del softwre) può e deve essere instllto dl cliente. Sono disponibili diversi metodi di instllzione. - Invire l dispositivo un file di ggiornmento/ptch utilizzndo l pgin Web del dispositivo per il metodo Softwre mcchin (Aggiornmenti). - Applicre l'ggiornmento/ptch un singolo dispositivo utilizzndo un comndo LPR. - Applicre l'ggiornmento/ptch vri dispositivi utilizzndo un btch di comndi LPR. - Uso di XDM e CenterWre Web per invire i file di ggiornmento/ptch vri dispositivi. Per ulteriori informzioni sui metodi riportti sopr vedere il suggerimento How to Upgrde, Ptch or Clone Xerox Multifunction Devices ( Metodo Softwre mcchin (Aggiornmenti) 1) Aprire un browser Web e connettersi l dispositivo multifunzione immettendo l'indirizzo IP del dispositivo. 2) Selezionre l'icon Indice che si trov nell prte centrle dello schermo, in lto. 3) Selezionre "Softwre mcchin (Aggiornmenti)". 4) Immettere il nome utente e l pssword del dispositivo. 5) In "Aggiornmento mnule" scegliere il pulsnte Sfogli per individure e selezionre il file P30.dlm. 6) Scegliere il pulsnte "Instll softwre". 7) Tutte le WCP stmpno un foglio di instllzione dell ptch e si rivvino utomticmente per instllre l ptch. L ptch è instllt qundo.p30 viene ggiunto l numero di del controller di rete (ESS). 701P47303 Pgin 4 di 5

5 Appendice A Bollettino di sicurezz XEROX XRX Ultim revisione: 29/06/07 Come ottenere il softwre di sistem Per ottenere le versioni del softwre di sistem * , * o successive: ) Medinte un browser ccedere l sito b) Selezionre il collegmento "Supporto e Driver". c) Selezionre "Multifunzione". d) Selezionre "WorkCentre" o "WorkCentre Pro", second del modello utilizzto. e) Individure il collegmento corrispondente l proprio modello di WorkCentre. f) Selezionre Driver e Downlod. g) Selezionre il collegmento Aggiornmenti per i prodotti. h) Selezionre il collegmento System softwre version XXX instll instructions (XXX si riferisce ll del softwre di sistem pplicbile come illustrto nelle istruzioni di instllzione riportte sopr) e stmpre o slvre queste istruzioni. i) Selezionre il collegmento System Softwre Upgrde Version XXX (XXX si riferisce ll del softwre di sistem pplicbile come illustrto nelle istruzioni di instllzione riportte sopr) e slvre il file sul computer. j) Dopo ver scricto il file, estrrne il contenuto sul desktop. k) Consultre il file delle istruzioni per l'instllzione del softwre di sistem ("System Softwre Instll Instructions") slvto. l) Aggiornre il dispositivo. Dichirzione di non responsbilità Le informzioni contenute in questo documento Xerox sono fornite "così come sono" senz lcun grnzi. Xerox Corportion non riconosce lcun grnzi, espress o implicit, comprese le grnzie di commercibilità e idoneità uno scopo specifico. In nessun cso Xerox Corportion srà responsbile di dnni di qulsisi tipo risultnti dll'uso dell'utente o dl mncto rispetto delle informzioni fornite in questo documento Xerox, inclusi dnni specili, diretti, indiretti, incidentli, conseguenti o perdit di profitti ziendli, nche nel cso in cui Xerox Corportion si stt informt dell possibilità di tli dnni. Poiché lcuni pesi non consentono l'esclusione o l limitzione dell responsbilità per i dnni conseguenti, le limitzioni di cui sopr potrebbero non essere pplicbili. 701P47303 Pgin 5 di 5