CVE-2026-63563 - Nicht authentifizierte Änderung des Adressbuchs auf Sharp MX/BP-Multifunktionsdruckern

Sicherheitshinweis des Herstellers: Sharp Product Security Advisory 2026-004 (veröffentlicht am 31. Juli 2026)

Zusammenfassung

Multifunktionsdrucker der Serien Sharp MX/BP legen das Adressbuch über die Weboberfläche des Geräts offen, ohne dass in der Standardkonfiguration eine Authentifizierung erforderlich ist. Ein entfernter, nicht authentifizierter Angreifer kann konfigurierte Scanziele wie SMB-Netzwerkordner, FTP, Desktop und E-Mail anzeigen und ändern, ohne die gespeicherten Anmeldedaten zu kennen oder zu ersetzen.

Daraus ergeben sich zwei primäre Angriffsvektoren:

1. Erbeutung von Anmeldedaten: Die Umleitung eines vorhandenen Scan-Ziels auf eine vom Angreifer kontrollierte Infrastruktur bewirkt, dass sich der Drucker mit dem gespeicherten Konto dort authentifiziert (sofern das Ziel netzwerkverbunden ist).
2. Stille Dokumentexfiltration. Eine vom Angreifer kontrollierte E-Mail-Adresse kann neben einem vorhandenen Ziel hinzugefügt werden, wodurch eine Kopie jedes gescannten Dokuments erzeugt wird, ohne den normalen Versand zu beeinträchtigen.

Beide beruhen auf derselben Ursache: Der Passwortschutz für die Webseite des Geräts ist in der ausgelieferten Konfiguration nicht erzwungen.

Betroffene Modelle

Bestätigt während der Tests: MX-3071, MX-M3070, BP-70C45. Das Verhalten zeigte sich allgemein über MX- und BP-Modelle hinweg konsistent. Das Advisory von Sharp enthält die vollständige Liste der betroffenen Modelle und Firmware.

Technische Details

Offenlegung des Adressbuchs

Der Aufruf von /addressbook.html gibt das Adressbuch des Geräts ohne Authentifizierungsaufforderung zurück. Das allein legt bereits interne E-Mail-Adressen und häufig auch interne SMB-Pfade und Hostnamen offen.

Beim Öffnen eines Eintrags werden der Zieltyp und das als Standard festgelegte Ziel angezeigt. Die Auswahl des Tabs Netzwerkordner zeigt einen vorausgefüllten Netzwerkpfad, einen Benutzernamen und ein maskiertes Passwortfeld. Die Anmeldedaten werden serverseitig gespeichert und beim Bearbeiten des Pfads nicht gelöscht; der Pfad kann daher geändert werden, ohne das Passwort anzugeben oder zu kennen.

Erbeutung von Anmeldedaten

Da die gespeicherten Anmeldedaten eine Änderung des Pfads überstehen, kann ein Angreifer das Netzwerkordner-Ziel auf eine betrügerische SMB-Freigabe umleiten. Beim nächsten Scanvorgang authentifiziert sich der Drucker ausgehend zum Host des Angreifers:

Extern ergibt sich daraus ein NTLMv2-Hash, der je nach Passwortlänge geknackt werden kann. Intern ist es schlimmer: Responder in Kombination mit einem Relay-Tool reicht das Material direkt an Hosts ohne SMB-Signierung weiter, sodass nichts geknackt werden muss. Abhängig von den Berechtigungen des Dienstkontos, das an das Scan-Ziel gebunden ist, kann dies bis zur Kompromittierung der Domäne eskalieren; diese Technik wurde von Kollegen bereits bestätigt und eingesetzt.

Das gleiche Muster gilt für die Tabs FTP und Desktop. Die gespeicherten Anmeldedaten bleiben erhalten, und die Ziel-IP oder der Pfad kann neu geschrieben werden.

Stille Hintertür über E-Mail-Ziel

Eine Pfadänderung hat ihren Preis: Sie unterbricht die tatsächliche Zustellung, sodass nur ein begrenztes Zeitfenster bleibt, bevor ein Benutzer bemerkt, dass seine Scans nicht ankommen.

Die E-Mail-Variante vermeidet dies. Wenn ein Eintrag einen Netzwerkordner als Standardziel festgelegt hat, kann ein Angreifer unter dem Tab E-Mail eine E-Mail-Adresse hinzufügen und sie ebenfalls als Standard markieren.

Beide Ziele befinden sich nun im Eintrag, jeweils als Standard markiert:

Die Scans kommen weiterhin an der vorgesehenen SMB-Freigabe an, und der Angreifer erhält eine Kopie jedes Dokuments. Auf diesem Weg werden keine Anmeldedaten erlangt, aber es gibt keinen funktionalen Hinweis für den Benutzer, dass sich etwas geändert hat. Über alle Adressbucheinträge hinweg wiederholt, öffnet dies eine Hintertür im Dokumentenfluss der gesamten Organisation.

Proof of Concept

1. Rufen Sie https://<printer>/addressbook.html auf — es wird keine Authentifizierung verlangt. Interne E-Mail-Adressen und SMB-Pfade sind sichtbar.
2. Öffnen Sie einen beliebigen Adressbucheintrag und notieren Sie das Ziel, das mit Als Standard verwendet festlegen markiert ist.
3. Wählen Sie den Tab Netzwerkordner. Pfad, Benutzername und ein gespeichertes (maskiertes) Passwort sind vorausgefüllt.
4. Ändern Sie den Netzwerkordner-Pfad auf eine vom Angreifer kontrollierte SMB-Freigabe und speichern Sie. Das Passwort ist nicht erforderlich.
5. Führen Sie Responder (intern mit einem Relay-Tool) aus und warten Sie auf den nächsten Scan. Der Drucker authentifiziert sich ausgehend mit dem gespeicherten Konto.
6. Alternativ können Sie auf dem Tab E-Mail eine Angreiferadresse hinzufügen, Als Standard verwendet festlegen aktivieren und speichern. Gescannte Dokumente werden sowohl an den ursprünglichen Netzwerkordner als auch an den Angreifer zugestellt.

Offenlegungs-Timeline