Falhas de segurança em impressoras expõem credenciais de autenticação

As impressoras multifuncionais Xerox VersaLink C7025 foram identificadas com vulnerabilidades de segurança que podem ser exploradas para capturar credenciais de autenticação, e permite ataques de retorno via Lightweight Directory Access Protocol (LDAP) e serviços SMB/FTP, representando um risco significativo para a segurança das redes empresariais.

Segundo Deral Heiland, investigador da Rapid7, a exploração destas falhas possibilita que um atacante modifique a configuração do equipamento e faça com que este envie credenciais de autenticação diretamente para um sistema controlado pelo atacante. “Se um agente mal-intencionado puder aproveitar com sucesso esses problemas, isso permitirá que eles capturem credenciais para o Windows Active Directory”, explicou o especialista, alertando que este acesso pode facilitar movimentos laterais dentro da organização e comprometer sistemas críticos.

As vulnerabilidades afetam as versões de firmware 57.69.91 e anteriores e estão identificadas como CVE-2024-12510 (pontuação CVSS: 6,7) – um ataque de retorno via LDAP, permitindo o redirecionamento de informações de autenticação para um servidor não autorizad; e CVE-2024-12511 (pontuação CVSS: 7,6) – um ataque de retorno através do catálogo de endereços do utilizador, permitindo a manipulação do endereço IP do servidor SMB ou FTP para capturar credenciais.

Para que o ataque seja bem-sucedido, o atacante precisa de acesso à página de configuração LDAP ou ao catálogo de endereços do utilizador, além de interação direta com a consola da impressora ou com a consola de controlo remoto via interface web. Dependendo da configuração, pode ser necessário acesso de administrador.

As falhas foram divulgadas em março de 2024 e corrigidas na atualização de firmware Service Pack 57.75.53, lançada em janeiro de 2025 para as versões VersaLink C7020, C7025 e C7030.

Enquanto a aplicação do patch não for possível, recomenda-se a definição de palavras-passe complexas para contas de administrador, a não utilização de credenciais de autenticação do Windows com privilégios elevados e a desativação da consola de controlo remoto para utilizadores não autenticados.