施乐打印机漏洞可致攻击者从PDA和SMB捕获身份验证数据

企业级Xerox Versalink C7025 多功能打印机（MFPs）存在多个漏洞，攻击者可借此截获轻量级目录访问协议（LDAP）和服务器消息块（SMB）服务中的身份验证凭证。

这些漏洞被命名为 CVE – 2024 – 12510 和 CVE – 2024 – 12511，恶意行为者可利用它们实施 “回传攻击”，即一种将设备身份验证尝试重定向到攻击者控制的系统的技术。

这些漏洞由 Rapid7 首席物联网研究员Deral Heiland发现，影响Xerox广泛部署的企业打印机的 57.69.91 及更早版本的固件。

LDAP 回传漏洞利用（CVE – 2024 – 12510）

LDAP 漏洞使得具有打印机 Web 界面管理权限的攻击者能够将 LDAP 服务器 IP 地址重新配置为恶意主机。

一旦修改完成，通过打印机 “用户映射” 功能发起的任何 LDAP 身份验证尝试都会将明文凭证传输到攻击者的服务器。
这种攻击针对使用 LDAP 进行集中用户身份验证的组织，需要满足以下条件：

（1）打印机上配置有效的 LDAP 以进行正常操作

（2）攻破打印机的管理员凭证（默认或弱密码）

（3）具备修改 LDAP 服务器设置的网络访问权限

安全分析师使用基于 Python 的 LDAP 监听器演示了该攻击，在打印机发起的身份验证请求期间实时捕获凭证。

获取的凭证可能使攻击者访问包含敏感用户属性和权限的企业目录。

SMB/FTP 凭证截获（CVE – 2024 – 12511）

第二个漏洞针对打印机的扫描到网络功能。攻击者在设备地址簿中修改 SMB/FTP 服务器条目，可将文件扫描重定向到恶意主机。这种技术能够捕获：

（1）使用 SMB 时的 NetNTLMv2 哈希，从而可针对活动目录进行中继攻击

（2）若配置了 FTP 身份验证，则可捕获明文凭证

Metasploit 的 auxiliary/server/capture/smb 模块可获取 NetNTLMv2 挑战，攻击者随后可离线破解或中继到加入域的系统。
研究人员的测试表明，当打印机在扫描到文件夹工作流程中使用特权服务账户时，可成功攻破域管理员账户。

企业影响与攻击场景

这些漏洞带来严重风险，原因如下：

（1）横向移动潜力：被攻破的域凭证使攻击者能够从打印机转向文件服务器、企业资源规划（ERP）系统和云资源。

（2）持久化机会：捕获的 SMB 哈希有助于进行黄金票据攻击并在活动目录中建立持久立足点。

（3）物理访问利用：攻击者无需网络访问，可通过打印机控制面板在本地执行攻击。

在一个演示的攻击链中，研究人员通过默认凭证（Xerox设备常保留出厂默认设置）获得管理员访问权限，将 LDAP 设置修改为攻击者 IP，通过 “测试连接” 功能触发 LDAP 同步，并使用捕获的凭证访问包含个人身份信息（PII）的人力资源数据库。

缓解策略

Xerox发布了修补固件（57.69.92 + 版本）来修复这两个 CVE 漏洞。若无法立即进行修补：

（1）轮换所有打印机服务账户密码

（2）通过管理控制台禁用未使用的协议（FTP/SMBv1）

（3）实施网络分段，将打印机通信限制在必要端口

（4）为打印机管理访问启用多因素身份验证（MFA）

由于现在已有修补固件可用，各组织必须迅速行动，在威胁行为者在实际环境中利用这些漏洞之前封堵这一攻击途径。