Kritische Drucker-Schwachstellen werden aktiv ausgenutzt: Über 700 Modelle betroffen

Die Exploit-Kette

Die erste Schwachstelle wird mit einem CVSS-Wert von nur 5,3 bewertet und ermöglicht es nicht authentifizierten Benutzern, gerätespezifische Daten zu extrahieren. Die Schwachstelle ist für sich genommen nicht kritisch, wird jedoch in Kombination mit CVE-2024-51978 deutlich gefährlicher. Mit Zugriff auf die Seriennummer eines Gerätes können Angreifer die Standard-Administratoranmeldedaten des Druckers ermitteln und so die vollständige Kontrolle über das System erlangen.

Diese Exploit-Kette stellt eine ernsthafte Bedrohung dar, denn Angreifer können aus der Ferne auf betroffene Drucker zugreifen und diese übernehmen, um sie in Botnetze zu integrieren oder für umfassendere Netzwerkangriffe zu verwenden.

Nach Beobachtungen der Sicherheitsgruppe Crowdsec begann das automatisierte Scannen nach CVE-2024-51977 bereits am 4. Juli. Aktive Angriffe wurden ab dem 9. Juli von mindestens 150 verschiedenen IP-Adressen aus verzeichnet. Diese Angriffe variieren in ihrer Vorgehensweise etwas, einige scheinen gezielt zu sein, während andere das Internet wahllos nach anfälligen Geräten durchsuchen.

Der Umfang dieser Angriffe könnte größer sein als die aktuellen Daten vermuten lassen, da die Zahlen von Crowdsec ausschließlich auf Meldungen aus dem eigenen Community-Netzwerk basieren.

Um sich gegen diese Bedrohungen zu schützen, haben die betroffenen Hersteller Firmware-Updates veröffentlicht, um CVE-2024-51977 zu patchen. CVE-2024-51978 erfordert jedoch manuelle Maßnahmen: Benutzer müssen die Standard-Administratorpasswörter auf den betroffenen Geräten ändern.

Eine vollständige Liste der betroffenen Druckermodelle und direkte Links zu den Updates der Hersteller, sind in den öffentlichen CVE-Einträgen zu beiden Sicherheitslücken zu finden. Angesichts der geringen Hürden für die Ausnutzung dieser Sicherheitslücken werden Druckerbesitzer und IT-Administratoren wohl schnell handeln müssen.