Weitere Lexmark-Schwachstellen – Nachlese zur Drucker-Schwachstelle (Feb. 2022)

Sicherheit (Pexels, allgemeine Nutzung)[English]Ende Januar 2022 wurde eine kritische Schwachstelle CVE-2021-44738 im PostScript-Interpreter von diversen Lexmark-Druckern öffentlich. Der Hersteller warnt vor dieser Schwachstelle, die eine Remote-Code-Ausführung ermöglicht, und stellt ein Firmware-Update zum Schließen der Schwachstelle bereit. Aber es gibt weitere Schwachstellen, die bisher wenig Aufmerksamkeit bekommen, aber möglicherweise kritischer sind.


Anzeige

Schwachstelle CVE-2021-44738

Im PostScript-Interpreter von diversen Lexmark-Druckern wurde eine kritische Schwachstelle CVE-2021-44738 gefunden. Der Hersteller warnt in einem Sicherheitshinweis vor dieser Schwachstelle, die eine Remote-Code-Ausführung ermöglicht, und stellt ein Firmware-Update zum Schließen der Schwachstelle bereit. Ich hatte im Blog-Beitrag Kritische Schwachstelle CVE-2021-44738 in Lexmark-Druckern (Jan. 2022) darüber berichtet und bei heise gibt es den Beitrag Sicherheitsupdates: Lexmark-Drucker mit kritischer Schadcode-Lücke dazu. So weit so gut.

Weitere Schwachstellen beachten

Blog-Leser Karl hat mich im Nachgang zu obigem Artikel per Mail kontaktiert und wies mich darauf hin, dass das wohl nur die Spitze des Eisbergs sei (danke für den Hinweis). Karl schrieb mir:

Hallo Herr Born,

ich bin gerade von einem Partner im Druckerbereich kontaktiert worden, um die gemeldete Schwachstelle von Lexmark einzuschätzen und möchte ihnen das auch zukommen lassen.

Heise hat am Montag schon einen Artikel zu der Schwachstelle im Postscript Interpreter verfasst:

Meiner Meinung nach ist das aber nur die Spitze des Eisberges, weil in den öffentlichen Security Advisories zwei weitere Sicherheitslöcher im  embedded web server genannt werden, die ich für weitaus kritischer halte.

Karl hat mir dann auch die Links zu den betreffenden Security Advisories zukommen lassen, die über die Alert Liste von Lexmark zu finden sind.

  • CVE-2021-44735: Im eingebetteten Webserver von Lexmark-Geräten wurde eine Sicherheitslücke entdeckt. Die Sicherheitslücke
    ermöglicht es dem Angreifer, beliebigen Code auf dem Gerät auszuführen. Der CVSSv3 Base Score ist mit 9.0 angegeben.
  • CVE-2021-44734: Im eingebetteten Webserver von Lexmark-Geräten wurde eine Sicherheitslücke entdeckt. Die Sicherheitslücke
    ermöglicht es dem Angreifer, die Konfiguration des Geräts zu ändern. Der CVSSv3 Base Score ist mit 9.1 angegeben.

Die Liste der betroffenen Geräte ist den beiden verlinkten PDF-Dokumenten zu entnehmen. Es gibt für die betroffenen Drucker bereits Firmware Updates, die aber erfahrungsgemäß hin und wieder Seiteneffekte, wie nicht erkannte oder veraltet gemeldete Tonerpatronen, mit sich bringen können, schreibt Karl.

Ähnliche Artikel:
Kritische Schwachstelle CVE-2021-44738 in Lexmark-Druckern (Jan. 2022)
Lexmark Multifunktionsgeräte: Sicherheitsupdate für Fax gesucht
US-Urteil gegen Lexmark, Refurbished-Tintenpatronen erlaubt


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Geräte, Sicherheit abgelegt und mit Drucker, Lexmark, Sicherheit verschlagwortet. Setze ein Lesezeichen auf den Permalink.

5 Antworten zu Weitere Lexmark-Schwachstellen – Nachlese zur Drucker-Schwachstelle (Feb. 2022)

  1. Karl sagt:

    Ergänzung:

    Ich hab bei all meinen Kunden das zugehörige Firmwareupdate aufgespielt (ca. 20 Drucker, verschiedene Modelle) und hatte den, von meinem Partner, erwähnten Seiteneffekt auf genau einem Drucker.
    Dieser (Lexmark MS312dn) wurde 2016 aufgestellt, wenig benutzt und hatte noch immer seine erste Tonerpatrone mit einem Füllstand von 80%.
    Das ist ärgerlich, war aber zu verschmerzen und ein Hinweis, daß sich der Seiteneffekt doch in Grenzen hält.

    • Blackii sagt:

      Moin,

      über die Hotline konnten wir für unsere alten Geräte MS510dn (2016/2018?, kostenlos und egal wie der Füllstand ist, die Patrone austauschen.

      MfG,
      Blackii

      • Karl sagt:

        Danke für die Info.

        Ich habe es über meinen Partner gespielt :-).
        Der sammelt die Patronen zusammen und bekommt sie über Lexmark dann ausgetauscht.
        Viel ist aber bis jetzt bei ihm nicht zusammengekommen.

  2. Anonymous sagt:

    Ich finde es komisch, dass man die Firmware für ältere Modelle nicht bei Lexmark findetm ich musste bei der Lexmark Hotline anrufen um dann nach einer Woche den Link als individuellen Download zu bekommen.

  3. R. sagt:

    Das betrifft nicht nur Lexmark-Drucker, sondern so ziemlich die meisten aktuellen Toshiba-A4-Systeme. Ich wurde diese Woche von unserem Kundenbetreuer kontaktiert, wir müssen jetzt alle Systeme patchen (ca. 70 Stk.). Der Download dazu kommt von den Lexmark-Servern….

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.