CVE-2026-63563 - Modifica non autenticata della rubrica su multifunzione Sharp MX/BP

Avviso del fornitore: Sharp Product Security Advisory 2026-004 (pubblicato il 31 luglio 2026)

Sintesi

I multifunzione delle serie Sharp MX/BP espongono la rubrica tramite l'interfaccia web del dispositivo senza richiedere autenticazione nella configurazione predefinita. Un attaccante remoto non autenticato può visualizzare e modificare le destinazioni di scansione configurate, come Cartella di rete SMB, FTP, Desktop ed E-mail, senza conoscere o sostituire le credenziali memorizzate.

Esistono due vettori d'attacco primari, risultanti:

1. Raccolta di credenziali: reindirizzare una destinazione di scansione esistente verso un'infrastruttura controllata dall'attaccante fa sì che la stampante si autentichi verso di essa con l'account memorizzato (se è connessa alla rete)
2. Esfiltrazione silenziosa di documenti. Un indirizzo e-mail controllato dall'attaccante può essere aggiunto accanto a una destinazione esistente, producendo una copia di ogni documento scansionato senza interrompere la consegna normale.

Entrambi derivano dalla stessa causa principale: la protezione tramite password della pagina web del dispositivo non è applicata nella configurazione fornita.

Modelli interessati

Confermato durante i test: MX-3071, MX-M3070, BP-70C45. Il comportamento è apparso coerente in generale sui modelli MX e BP. L'avviso di Sharp elenca l'elenco completo dei modelli e dei firmware interessati.

Dettaglio tecnico

Esposizione della rubrica

Navigando su /addressbook.html si ottiene la rubrica del dispositivo senza alcuna richiesta di autenticazione. Questo da solo rivela indirizzi e-mail interni e, frequentemente, percorsi SMB interni e hostname.

Aprendo una voce si rivela il tipo di destinazione e quale destinazione è impostata come predefinita. Selezionando la scheda Cartella di rete viene mostrato un percorso di rete precompilato, un nome utente e un campo password mascherato. Il materiale delle credenziali viene conservato lato server e non viene cancellato quando il percorso viene modificato; il percorso può quindi essere cambiato senza fornire o conoscere la password.

Furto di credenziali

Poiché la credenziale memorizzata sopravvive alla modifica del percorso, un attaccante può puntare la destinazione Cartella di rete verso una condivisione SMB rogue. Alla successiva scansione di un utente, la stampante si autentica in uscita verso l'host dell'attaccante:

Esternamente, questo produce un hash NTLMv2 che potrebbe essere cracked a seconda della lunghezza della password. Internamente, è peggio: Responder insieme a uno strumento di relay passa il materiale direttamente agli host senza firma SMB, eliminando la necessità di crackare qualsiasi cosa. A seconda dei privilegi dell'account di servizio associato alla destinazione di scansione, questo può escalare fino a un compromissione del dominio, e questa tecnica è già stata confermata e utilizzata dai colleghi.

Lo stesso schema si applica alle schede FTP e Desktop. Le credenziali memorizzate persistono e l'IP o il percorso della destinazione può essere riscritto.

Backdoor silenziosa tramite destinazione e-mail

La modifica del percorso non è senza costi: interrompe la consegna effettiva, quindi c'è una finestra limitata prima che un utente noti che le sue scansioni non arrivano.

La variante e-mail evita questo. Se una voce ha una Cartella di rete impostata come destinazione predefinita, un attaccante può aggiungere un indirizzo e-mail nella scheda E-mail e contrassegnarlo anch'esso come predefinito.

Entrambe le destinazioni ora sono presenti nella voce, ciascuna contrassegnata come predefinita:

Le scansioni continuano ad arrivare alla condivisione SMB prevista e l'attaccante riceve una copia di ogni documento. In questo modo non si ottengono credenziali, ma non c'è alcun indicatore funzionale per l'utente che qualcosa sia cambiato. Ripetuto su ogni voce della rubrica, questo mette una backdoor sul flusso documentale a livello organizzativo.

Proof of concept

1. Andare su https://<printer>/addressbook.html — non viene richiesta alcuna autenticazione. Gli indirizzi e-mail interni e i percorsi SMB sono visibili.
2. Aprire una qualsiasi voce della rubrica e notare la destinazione contrassegnata come Set as Default used.
3. Selezionare la scheda Cartella di rete. Il percorso, il nome utente e una password memorizzata (mascherata) sono precompilati.
4. Cambiare il percorso della Cartella di rete in una condivisione SMB controllata dall'attaccante e salvare. La password non è richiesta.
5. Eseguire Responder (con uno strumento di relay, se interni) e attendere la scansione successiva. La stampante si autentica in uscita con l'account memorizzato.
6. In alternativa, nella scheda E-mail, aggiungere un indirizzo dell'attaccante, selezionare Set as Default used e salvare. I documenti scansionati vengono consegnati sia alla cartella di rete originale sia all'attaccante.

Cronologia della divulgazione