Les
imprimantes réseau sont présentes dans la plupart des organisations,
souvent connectées directement au réseau de l’entreprise, parfois en utilisant
un serveur d’impression. Cependant ces machines disposent en général d’un
véritable système d’exploitation embarqué, qui n’est bien souvent pas exempt de
failles de sécurité. On se souvient notamment des travaux du groupe Phenoelit
sur les imprimantes HP.
Lors de la conférence GSDays, qui avait lieu le 1er décembre à Issy les
Moulineaux, Thibault Koechlin et Jean Baron de la société française NBS System
ont présenté le résultat de leurs recherches concernant un modèle d’imprimante
Dell (1710n, en fait un « rebranding » de la Lexmark e240n).
Les chercheurs ont découvert tout d’abord, suite à un fuzzing manuel,
plusieurs vulnérabilités de type buffer overflow, notamment dans les services
http et ftp. Il est également possible de changer le mot de passe de
l’imprimante grâce à une simple requête POST vers l’interface d’administration.
Cette dernière est également vulnérable au cross site scripting (XSS), ce qui
peut permettre d’injecter une iframe malicieuse. Il est également possible
d’agir sur l’affichage LCD de l’imprimante, par exemple pour inciter les
utilisateurs à se rendre sur l’interface d’administration.
Ces dispositifs peuvent par ailleurs être des hôtes idéaux pour une backdoor
sur le réseau d’une entreprise, communiquant avec l’extérieur via un canal
caché. Les possibilités d’insertion d’un tel code malicieux sont multiples. Il
est tout d’abord possible de reflasher le firmware de l’imprimante, pour
intégrer du code. Il faut pour cela utiliser une commande PJL. Le système
intégré est basé sur une architecture ARM Big endian.
(lire
la suite)
