Lexmark: Hochriskante Lücken erlauben Codeschmuggel auf Drucker

Lexmark warnt vor mehreren Sicherheitslücken in zahlreichen Druckermodellen. Durch alle können Angreifer beliebigen Code einschleusen und ausführen. Aktualisierte Firmware steht bereit, die IT-Verantwortliche zügig auf verwundbare Geräte installieren sollten.

Die gravierendste Schwachstelle betrifft das Internet Printing Protokoll (IPP). Bei der Nutzung von IPP kann ein Pufferüberlauf auftreten, in dessen Folge Angreifer Schadcode einschleusen und ausführen können (CVE-2023-50739, CVSS 8.8, Risiko "hoch"). Genauere Informationen zur Lücke nennt Lexmark in der Sicherheitsmitteilung nicht. Den Fehler korrigieren Firmware-Versionen *.230.210 und neuere sowie für einige betroffene Baureihen *.222.032 bis *.222.999.

Drei neue Schwachstellen in Lexmark-Druckern

Zudem können Angreifer eine Server-Side Request Forgery (SSRF)-Schwachstelle in den Web Services neuerer Lexmark-Druckern ausnutzen, um aus dem Netz beliebigen Code auf verwundbare Geräte zu schleusen und dort auszuführen (CVE-2023-50733, CVSS 8.6, hoch). Die Firmware-Versionen *.230.212 sowie bei einigen Modellreihen *.222.032 bis *.222.999 oder neuere korrigieren der Sicherheitsmeldung von Lexmark zufolge die sicherheitsrelevanten Fehler.

Lexmark hat eine Funktion zur Firmware hinzugefügt, die ein Downgrade der Firmware verhindern soll. Diese Schutzfunktion ließ sich jedoch umgehen (CVE-2023-50738, CVSS 4.3, mittel). Laut Lexmark-Sicherheitsbericht sind diverse Firmware-Versionen dafür anfällig, Updates stehen auch hierfür bereit.

Die aktualisierten Firmware-Versionen sollen Lexmark zufolge auf der Support-Webseite zum Herunterladen bereitstehen. Da die Schwachstellen teils nur knapp an der Risikoeinstufung "kritisch" vorbeigeschrammt sind, sollten die Aktualisierungen zügig erfolgen.

Zuletzt hatte Lexmark Mitte März kritische Sicherheitslücken in mehreren Drucker-Baureihen stopfen müssen. Auch sie ermöglichten Angreifern aus dem Netz, Schadcode einzuschleusen und auszuführen.

(dmk)