Les imprimantes réseau, toujours un maillon faible de la sécurité informatique

Par Ludovic Blin, secuobs.com
Le 07/12/2009

---

Résumé : Les imprimantes et autres machines de types MFD sont présentes au sein de toutes les organisations, même les plus sensibles. Elles peuvent cependant révéler de nombreuses possibilités pour un attaquant éventuel, comme le démontre une conférence présentée lors des GSDays. - Lire l'article



Les imprimantes réseau sont présentes dans la plupart des organisations, souvent connectées directement au réseau de l’entreprise, parfois en utilisant un serveur d’impression. Cependant ces machines disposent en général d’un véritable système d’exploitation embarqué, qui n’est bien souvent pas exempt de failles de sécurité. On se souvient notamment des travaux du groupe Phenoelit sur les imprimantes HP.

Lors de la conférence GSDays, qui avait lieu le 1er décembre à Issy les Moulineaux, Thibault Koechlin et Jean Baron de la société française NBS System ont présenté le résultat de leurs recherches concernant un modèle d’imprimante Dell (1710n, en fait un « rebranding » de la Lexmark e240n).

Les chercheurs ont découvert tout d’abord, suite à un fuzzing manuel, plusieurs vulnérabilités de type buffer overflow, notamment dans les services http et ftp. Il est également possible de changer le mot de passe de l’imprimante grâce à une simple requête POST vers l’interface d’administration. Cette dernière est également vulnérable au cross site scripting (XSS), ce qui peut permettre d’injecter une iframe malicieuse. Il est également possible d’agir sur l’affichage LCD de l’imprimante, par exemple pour inciter les utilisateurs à se rendre sur l’interface d’administration.

Ces dispositifs peuvent par ailleurs être des hôtes idéaux pour une backdoor sur le réseau d’une entreprise, communiquant avec l’extérieur via un canal caché. Les possibilités d’insertion d’un tel code malicieux sont multiples. Il est tout d’abord possible de reflasher le firmware de l’imprimante, pour intégrer du code. Il faut pour cela utiliser une commande PJL. Le système intégré est basé sur une architecture ARM Big endian.

Il est aussi possible d’insérer une backdoor hardware, basée par exemple sur une carte de type Armadillo 230, dotée de 2 ports ethernet et configurée en mode bridge. Dans le cadre d’une attaque réelle, une telle backdoor peut être installée en rendant l’imprimante hors service, puis en envoyant un technicien pour la réparer. Par ailleurs il est aussi possible de livrer une imprimante non commandée à une organisation, celle-ci ayant de forte chance d’être branchée sur le réseau interne.

Les systèmes embarqués au sein des imprimantes semblent donc toujours particulièrement vulnérables. Il est donc conseillé de mettre en place des contre mesures organisationnelles et techniques, par exemple, ne pas autoriser le branchement d’une imprimante en direct sur le réseau. Dans ce cas il convient de faire attention au serveur d’impression utilisé, de manière à ce que celui-ci ne soit pas vulnérable également.

Le site de la société NBS System : lien