ac3lives/kyocera-cve-2022-1026Kyoceraプリンターにおける未認証のデータ抽出の脆弱性。これにより、平文のアドレス帳とドメイン参加パスワードの回復が可能になります。
Kyoceraプリンタにおける認証不要のデータ抽出脆弱性。アドレス帳とドメイン参加パスワードを平文で取得することが可能です。
2021年にペネトレーションテストを行っていた際、プリンタをリモート管理するためのKyoceraのシッククライアントアプリケーションを調査していました。アプリケーションからのトラフィックをプロキシしているときに、KyoceraのSOAP API（ポート9091/TCP）が、機密性の高い操作を実行する際に認証を適切に処理していないことを発見しました。Kyocera MFPには、会社のドメイン用のバインド資格情報、FTP資格情報、ファイル共有資格情報などを設定できます。認証なしで、MFPに保存されているすべての資格情報を平文で取得することが可能です。
完全なwriteupはRapid7のブログで公開されています: https://www.rapid7.com/blog/post/2022/03/29/cve-2022-1026-kyocera-net-view-address-book-exposure/
この問題は現在すべてのモデルで修正されているとは思えず、ベンダーへの報告にもかかわらず0-dayのまま残っています。これまでに長年にわたって特定したいくつかのモデルでしかテストできませんでしたが、Kyoceraプリンタを見つけるたびに、これは今でも機能します。
このPythonスクリプトはTCPポート9091でMFPに接続し、新しいアドレス帳エクスポートを作成するSOAPリクエストを発行します。プリンタはアドレス帳のオブジェクト番号で応答し、スクリプトはアドレス帳の作成が完了するまで数秒間スリープします。最後に、別のSOAPリクエストを介してアドレス帳を取得します。アドレス帳内には、設定されたすべての資格情報が平文で含まれています。
出力やエクスプロイトプロセスの整形に手を戻すことはなかったので、パース処理を改善したPRを歓迎します。
python3 getKyoceraCreds.py <printerip>
