CVE-2026-63563 - تعديل دفتر العناوين بدون مصادقة على طابعات Sharp MX/BP متعددة الوظائف

استشارة البائع: Sharp Product Security Advisory 2026-004 (نُشر في 31 يوليو 2026)

ملخص

طابعات Sharp MX/BP متعددة الوظائف تعرض دفتر العناوين عبر واجهة الويب الخاصة بالجهاز دون طلب مصادقة في الإعداد الافتراضي. يمكن لمهاجم بعيد غير مصادق عرض وتعديل وجهات المسح الضوئي المكوّنة مثل مجلد الشبكة SMB و FTP و Desktop والبريد الإلكتروني دون معرفة أو استبدال بيانات الاعتماد المخزنة.

يوجد مساران رئيسيان للهجوم، وينتج عنهما:

1. حصاد بيانات الاعتماد: يؤدي توجيه وجهة مسح موجودة إلى بنية تحتية يتحكم فيها المهاجم إلى قيام الطابعة بالمصادقة عليها باستخدام الحساب المخزن (إذا كانت متصلة بالشبكة)
2. استخراج المستندات الصامت. يمكن إضافة عنوان بريد إلكتروني يتحكم فيه المهاجم بجانب وجهة موجودة، مما ينتج نسخة من كل مستند ممسوح ضوئيًا دون أي انقطاع في التسليم العادي.

ينبع كلاهما من نفس السبب الجذري: حماية كلمة المرور لصفحة الويب الخاصة بالجهاز غير مفعّلة في الإعداد المُسلَّم.

الطرازات المتأثرة

تم التأكيد أثناء الاختبار: MX-3071 و MX-M3070 و BP-70C45. يبدو السلوك متسقًا عبر طرازات MX و BP بشكل عام. يسرد تنبيه Sharp القائمة الكاملة للطرازات والبرامج الثابتة المتأثرة.

التفاصيل الفنية

كشف دفتر العناوين

الانتقال إلى /addressbook.html يعيد دفتر عناوين الجهاز دون أي مطالبة مصادقة. هذا وحده يكشف عن عناوين البريد الإلكتروني الداخلية، وفي كثير من الأحيان، مسارات SMB الداخلية وأسماء المضيفين.

فتح أي إدخال يكشف نوع الوجهة وأي وجهة معيّنة كافتراضية. يؤدي تحديد علامة تبويب مجلد الشبكة إلى إظهار مسار شبكة معبأ مسبقًا واسم مستخدم وحقل كلمة مرور مقنّعة. يتم الاحتفاظ ببيانات الاعتماد في الخادم ولا يتم مسحها عند تعديل المسار، وبالتالي يمكن تغيير المسار دون إدخال كلمة المرور أو معرفتها.

سرقة بيانات الاعتماد

نظرًا لأن بيانات الاعتماد المخزنة تبقى بعد تعديل المسار، يمكن للمهاجم توجيه وجهة مجلد الشبكة إلى مشاركة SMB خبيثة. في المرة التالية التي يقوم فيها المستخدم بالمسح الضوئي، تقوم الطابعة بالمصادقة الصادرة إلى مضيف المهاجم:

خارجيًا، ينتج عن هذا تجزئة NTLMv2 قد تكون قابلة للكسر اعتمادًا على طول كلمة المرور. داخليًا، يكون الوضع أسوأ: يقوم Responder مع أداة ترحيل بتمرير المواد مباشرةً إلى المضيفين التي لا تستخدم توقيع SMB، مما يلغي الحاجة إلى كسر أي شيء. اعتمادًا على صلاحيات حساب الخدمة المرتبط بوجهة المسح الضوئي، يمكن أن يتصاعد هذا إلى اختراق النطاق، وقد تم تأكيد هذه التقنية واستخدامها بالفعل من قبل الزملاء.

ينطبق النمط نفسه على علامتَي FTP وسطح المكتب. تبقى بيانات الاعتماد المخزنة ويمكن إعادة كتابة عنوان IP أو مسار الوجهة.

الزرع الخلفي الصامت عبر وجهة البريد الإلكتروني

تعديل المسار لا يخلو من تكلفة: فهو يعطل التسليم الفعلي، لذلك هناك نافذة زمنية محدودة قبل أن يلاحظ المستخدم أن عمليات المسح الضوئي الخاصة به لا تصل.

البديل عبر البريد الإلكتروني يتجنب ذلك. إذا كان الإدخال يحتوي على مجلد شبكة معين كوجهة افتراضية، يمكن للمهاجم إضافة عنوان بريد إلكتروني ضمن علامة تبويب البريد الإلكتروني وتعليمه كافتراضي أيضًا.

الآن توجد الوجهتان معًا على الإدخال، وكل منهما مُعلَّم كافتراضي:

تستمر عمليات المسح الضوئي في الوصول إلى مشاركة SMB المقصودة، ويتلقى المهاجم نسخة من كل مستند. لا يتم الحصول على بيانات اعتماد بهذه الطريقة، ولكن لا يوجد مؤشر وظيفي للمستخدم على أن أي شيء تغير. عند تكرار ذلك عبر كل إدخال في دفتر العناوين، يُنشئ هذا زرعًا خلفيًا لتدفق المستندات على مستوى المؤسسة.

إثبات المفهوم

1. انتقل إلى https://<printer>/addressbook.html — لا يُطلب أي مصادقة. تظهر عناوين البريد الإلكتروني الداخلية ومسارات SMB.
2. افتح أي إدخال في دفتر العناوين ولاحظ الوجهة المُعلَّمة تعيين كافتراضي مستخدم.
3. حدد علامة تبويب مجلد الشبكة. يتم تعبئة المسار واسم المستخدم وكلمة مرور مخزنة (مقنّعة) مسبقًا.
4. غيّر مسار مجلد الشبكة إلى مشاركة SMB يتحكم فيها المهاجم واحفظ. كلمة المرور غير مطلوبة.
5. شغّل Responder (مع أداة ترحيل، إذا كنت داخل الشبكة) وانتظر عملية المسح التالية. تقوم الطابعة بالمصادقة الصادرة باستخدام الحساب المخزن.
6. بدلاً من ذلك، في علامة تبويب البريد الإلكتروني، أضف عنوان المهاجم، وحدد تعيين كافتراضي مستخدم، واحفظ. يتم تسليم المستندات الممسوحة ضوئيًا إلى كل من مجلد الشبكة الأصلي والمهاجم.

الجدول الزمني للإفصاح