Websecurity - Веб безпека

У грудні, 16.12.2014, я виявив Information Leakage та Insufficient Authorization уразливості в SyncThru Web Service. Після чого анонсував, що Українські Кібер Війська почали операцію по захопленню мережевих принтерів в Росії.

Це веб додаток для принтерів Samsung, зокрема я знайшов Samsung ML-1865W та інші принтери з ним. Про що найближчим часом повідомлю розробникам.

Information Leakage (WASC-13):

http://site
http://site:631

Можливий доступ без авторизації до інформації про всі налаштування принтера (для читання).

Insufficient Authorization (WASC-02):

В розділі Print Information можна друкувати тестові документи без авторизації. Таким чином без знання логіна і паролю можна витратити папір і картридж принтера.

Також я знаходив інші принтери Samsung (з ранньою версією прошивки), де без авторизації була доступна функція Direct Print. Що дозволяє друкувати довільні документи.

Уразливі Samsung SyncThru Web Service 6.01 та попередні версії.

This entry was posted on 23:59 19.12.2014 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.