Во время недавнего пентеста специалисты Sprocket Security нашли Canon imageRUNNER с открытым VNC без пароля.
Через экран управления они изменили адрес FTP-сервера и запустили проверку подключения. МФУ отправило на сервер пентестеров сохранённые логин и пароль доменной учётной записи.
У учётки оказалось больше прав, чем требовалось для работы принтера. Через BloodHound нашли путь повышения привилегий и за несколько минут получили права администратора домена.
Это не единичный случай. Rapid7 изучила результаты 136 пентестов: в 97 случаях специалисты получили административный доступ к МФУ, а в 31 успешно забрали учётные данные через pass-back-атаку и получили доступ к Active Directory.
При этом только 36% организаций оперативно обновляют прошивки принтеров.
МФУ нужно включать в обычный процесс управления уязвимостями. Обновлять прошивку, менять стандартные пароли, отключать VNC и другие ненужные службы, ограничивать доступ отдельным сетевым сегментом и не использовать на принтерах привилегированные доменные учётные записи.
Потому что путь к администратору домена иногда начинается с принтера.
Добавить комментарий