BOLLETTINO DI SICUREZZA XEROX XRX08-001

Transcript

1 BOLLETTINO DI SICUREZZA XEROX XRX Bollettino di sicurezz XEROX XRX Il controller di rete/ess present vulnerbilità che, se sfruttte, potrebbero consentire l'esecuzione in remoto di codici rbitrri trmite richieste RPC (Remote Procedure Cll) designte llo scopo. Si forniscono qui sotto un soluzione softwre (ptch ) e le istruzioni per instllrl sui prodotti indicti. L ptch è stt cret in modo che poss essere instllt direttmente dl cliente. L soluzione softwre è disponibile come file ZIP di 8.3 MB dl collegmento riportto qui sotto: L ptch è clssifict come ptch importnte. L'instllzione del è prticolrmente rccomndt i clienti preoccupti dell vulnerbilità dei prodotti elencti di. Tuttvi, leggere prim le istruzioni di instllzione llegte per controllre di disporre dell versione degut per l'instllzione. Per i prodotti dell serie WorkCentre /WorkCentre Pro 2xx, il softwre di sistem versione * o (controller ESS versione x1110 o ) contiene già quest correzione e pertnto è superflu. Per i prodotti WorkCentre 7655/7665, il softwre di sistem versione o (controller ESS versione o ) contiene già quest correzione e pertnto è superflu. Inoltre, per WorkCentre 7655/7665, se il softwre di sistem non è o (controller di rete versione *1031 o ), occorre contttre l'ssistenz tecnic per eseguire o dell mcchin l softwre di sistem/controller di rete versione , prim di pplicre. Not: quest ptch di sicurezz è contrssegnt dl codice. Un volt instllt correttmente, l versione del controller di rete vrà il suffisso. (d esempio, x0115.). Rischio Nell'mbito dei controlli costnti per proteggere i clienti d potenzili ttcchi, Xerox h scoperto le seguenti vulnerbilità: CVE Sovrccrichi di hep multipli permettono l'esecuzione in remoto di codici non utorizzti CVE Vulnerbilità di tipo commnd injection in remoto Queste vulnerbilità, presenti nel codice del controller di rete/essche gestisce i servizi di condivisione di file e stmpnti per i client SMB/CIFS (Service Messge Block/ Internet File System) quli i dispositivi MFD Xerox, potrebbero consentire l'esecuzione in remoto di codici rbitrri trmite richieste RPC (Remote Procedure Cll) designte llo scopo. Le vulnerbilità colpiscono solo i servizi di condivisione delle stmpnti. Un pirt informtico potrebbe pportre modifiche non utorizzte ll configurzione del sistem. Tuttvi, le pssword di clienti e utenti non sono rischio. Quest ptch si pplic solo i modelli connessi in rete 1 dei seguenti prodotti: WorkCentre WorkCentre Pro Se il prodotto non è collegto ll rete, non è vulnerbile gli ttcchi, pertnto non è richiest lcun zione preventiv. 701P47972 Pgin 1 di 5

2 Soluzione Istruzioni di instllzione Nome file del: WCP275_WC7665_v2.dlm Bollettino di sicurezz XEROX XRX L ptch può essere instllt sul sistem seguendo le istruzioni riportte di. Riepilogo delle versioni e delle procedure: Stbilire l versione inizile del softwre di sistem o l versione del controller ESS Stbilire quli sono gli ggiornmenti necessri Eseguire o dei dispositivi in bse lle esigenze Applicre, se necessrio Per WC/WCP 232/238/245/255/265/275 Se l versione del softwre è SW sistem o Controller ESS Instllre? Pssggio successivo: 1 D * D No Eseguire * # #1160 o * successiv. 2 D * D No Eseguire * # #2250 o * successiv. 3 * #2280 No Rivolgersi ll'ssistenz per eseguire o * successiv 4 * (con certificzione Criteri) 5 * Certificzione Criteri #1121 No l #1123 No l 6 * #0112 No Eseguire o ll versione * o 7 * (con certificzione Criteri) #0115 Sì l Quindi: Nuovo numero del controller di rete/ess: #1031.BIOSxx.xx.v #1031.BIOSxx.xx.v2 (se viene pplict) #1031.BIOSxx.xx.v2 (se viene pplict) #1031.BIOSxx.xx.v #0115.v2 (se l ptch viene pplict) 701P47972 Pgin 2 di 5

3 Bollettino di sicurezz XEROX XRX D * * * e D # # #1100 o Sì l ptch - D #0115.BIOSxx.xx.v #1100.BIOSxx.xx.v2 N/A Ftto - - NOTA 1: se l versione del softwre di sistem è * , * o , il dispositivo dispone di un certificzione Criteri. Se l versione del softwre di sistem è inferiore, è possibile eseguire o ll versione * e successivmente cricre. A questo punto tuttvi il dispositivo non disporrà più dell certificzione Criteri. Per WC 7655/7665 Se l versione del softwre è SW sistem o Controller di rete Instllre? Pssggio successivo: 1 D D No Rivolgersi ll'ssistenz tecnic per eseguire o ll versione Sì l ptch Sì l con certificzione Criteri 4 D e D Sì l Quindi: Nuovo numero del controller di rete/ess: BIOSxx.xx.v BIOSxx.xx.v BIOSxx.xx.v2 (se viene pplict) - D BIOSxx.xx. P31v BIOSxx.xx. P31v14 (se viene pplict) N/A Ftto - - NOTA 1: se l versione del softwre di sistem è , il dispositivo dispone di un certificzione Criteri. Se lo si desider, si può cricre, tuttvi così fcendo si invliderà l certificzione Criteri. 701P47972 Pgin 3 di 5

4 Bollettino di sicurezz XEROX XRX Instllzione del È necessrio innnzitutto scricre. L ptch è compress in formto ZIP. Scricre il file ZIP dll'url indicto ed estrrre tutto il contenuto sul desktop. Non tentre di prire il file con estensione.dlm: si trtt del e deve essere instllt sul dispositivo multifunzione così com'è. Metodi di instllzione del L ptch di ggiornmento (come l mggior prte del softwre) può (e deve) essere instllt dl cliente. È possibile eseguire l'instllzione seguendo vri metodi. - Metodo Softwre mcchin (Aggiornmento): invire un file di ggiornmento/ptch l dispositivo utilizzndo l pgin Web del dispositivo - Comndo LPR: pplicre o/ptch un singolo dispositivo utilizzndo un comndo LPR. - Btch di comndi LPR: pplicre o/ptch vri dispositivi utilizzndo un btch di comndi LPR. - XDM e CenterWre Web: invire i file di ggiornmento/ptch vri dispositivi trmite XDM e CenterWre Web. Per ulteriori informzioni sui metodi riportti sopr, vedere il suggerimento How to Upgrde, Ptch or Clone Xerox Multifunction Devices (Come ggiornre, dotre di ptch o clonre i dispositivi multifunzione Xerox) ( Metodo Softwre mcchin (Aggiornmento) 1) Aprire un browser Web e connettersi l dispositivo multifunzione immettendo l'indirizzo IP del dispositivo. 2) Selezionre l'icon Indice in lto l centro sullo schermo. 3) Selezionre Softwre mcchin (Aggiornmenti). 4) Inserire il nome utente e l pssword del dispositivo. 5) In Mnul Upgrde (Aggiornmento mnule), selezionre il pulsnte Browse (Sfogli) per individure e poi selezionre il file WCP275_WC7665_v2.dlm. 6) Premere il pulsnte Instll Softwre (Instll softwre). 7) A questo punto, tutti i sistemi WCP stmpernno un foglio di instllzione del e poi si rivviernno utomticmente per instllre. Qundo.v2 viene ggiunto l numero di versione del controller di rete (ESS), signific che è instllt. 701P47972 Pgin 4 di 5

5 Appendice A - Come ottenere il softwre di sistem Bollettino di sicurezz XEROX XRX Per ottenere le versioni * (o successive) del softwre di sistem: ) Aprire un browser Web per ccedere l sito b) Selezionre il collegmento Supporto e Driver. c) Selezionre Multifunzione. d) In bse l modello che si possiede, selezionre WorkCentre o WorkCentre Pro. e) Individure il collegmento che corrisponde l proprio modello di WorkCentre. f) Selezionre Driver e Downlod. g) Selezionre il collegmento Aggiornmenti per i prodotti. h) Selezionre il collegmento System softwre set * Instll Instructions e stmpre il documento (oppure slvrlo). i) Selezionre il collegmento per System Softwre set * e slvre il file sul computer. j) Dopo ver scricto il file, estrrne il contenuto sul desktop. k) Consultre il file delle istruzioni per l'instllzione del softwre di sistem ( System Softwre Instll Instructions ) slvto prim. l) Eseguire o del dispositivo. Appendice B Abilitzione di LPD (stmp dll port 515) Per poter utilizzre il metodo LPR per pplicre, è necessrio che il dispositivo multifunzione supporti l stmp LPD (Line Printer Demon) medinte l port 515. Nell mggior prte dei dispositivi multifunzione, questo protocollo è bilitto per impostzione predefinit. Se l stmp LPD è disbilitt, è necessrio bilitrl per poter utilizzre il metodo LPR. Per bilitre LPD, seguire questi pssggi: 1) Aprire un browser Web e connettersi l dispositivo multifunzione immettendo l'indirizzo IP del dispositivo. 2) Selezionre l'icon Indice o Indice dispositivi nell prte dello schermo. 3) Selezionre LPR/LPD oppure Line Printer Demon. 4) Se l csell Abilitto NON è seleziont, selezionrl. Apprirà un segno di spunt. 5) Selezionre Applic nuove impostzioni. 6) Inserire il nome utente e l pssword dell'mministrtore, quindi selezionre OK. 7) Rivvire il dispositivo multifunzione dll pgin web Stto oppure premere il pulsnte di spegnimento del dispositivo. Declinzione di responsbilità Le informzioni contenute in questo documento Xerox sono fornite così come sono senz lcun grnzi. Xerox Corportion non riconosce lcun grnzi, espress o implicit, comprese le grnzie di commercibilità e idoneità uno scopo specifico. In nessun cso Xerox Corportion srà responsbile di dnni di qulsisi tipo risultnti dll'uso dell'utente o dl mncto rispetto delle informzioni fornite in questo documento Xerox, inclusi senz limitzione dnni specili, diretti, indiretti, incidentli, conseguenti o l perdit di profitti ziendli, nche nel cso in cui Xerox Corportion si stt informt dell possibilità di tli dnni. Alcuni pesi non consentono l'esclusione o l limitzione dell responsbilità per i dnni conseguenti, pertnto le limitzioni di cui sopr potrebbero non essere pplicbili. 701P47972 Pgin 5 di 5