Nhà sản xuất máy in Lexmark vừa phát hành các bản cập nhật firmware để giải quyết nhiều lỗ hổng trong hơn 100 mẫu máy in của họ. Khai thác thành công, những lỗ hổng này có thể cho phép tin tặc thực thi mã từ xa hoặc leo thang đặc quyền.  

Bốn lỗ hổng nghiêm trọng trong trình thông dịch PostScript của các thiết bị Lexmark khác nhau đều có điểm CVSS là 9,0 gồm: CVE-2023-26063, CVE-2023-26064, CVE-2023-26065 và CVE-2023-26066. Các lỗ hổng này là lỗi  nhầm lẫn loại (type confusion), ghi ngoài giới hạn (out-of-bounds write), tràn số nguyên (integer overflow) và xác thực không đúng trên ngăn xếp trong trình thông dịch PostScript. Khai thác thành công các lỗ hổng có thể cho phép tin tặc thực thi mã tùy ý từ xa trên thiết bị.  

Lỗ hổng xác thực đầu vào CVE-2023-26067 (điểm CVSS 8.0) trong các thiết bị Lexmark chỉ có thể bị khai thác bởi một tin tặc đã xâm phạm thành công vào thiết bị thông qua các phương tiện khác. Khai thác thành công, tin tặc có thể leo thang đặc quyền và thực thi mã tùy ý từ xa.  

Lỗ hổng CVE-2023-26068 (điểm CVSS 8,5) bắt nguồn từ việc xử lý dữ liệu đầu vào không đúng cách, có thể dẫn đến thực thi mã từ xa với quyền của máy chủ web nhúng.  

Hai lỗ hổng CVE-2023-26069 và CVE-2023-26070 có điểm CVSS 9,0. Là lỗ hổng xác thực đầu vào được phát hiện trong API web và SNMP của các thiết bị Lexmark. Cả hai lỗ hổng đều có thể bị tin tặc khai thác để thực thi mã tùy ý từ xa trên các thiết bị.  

Lexmark khuyến nghị người dùng cập nhật Firmware của thiết bị để giảm thiểu các rủi ro.  

Nguồn: Securityonline.info