CVE-2026-63563 - Sharp MX/BP 複合機における認証不要のアドレス帳改ざん

ベンダー勧告: Sharp Product Security Advisory 2026-004（2026年7月31日公開）

概要

Sharp MX/BP シリーズの複合機は、デフォルト構成においてデバイスの Web インターフェース経由で認証を必要とせずにアドレス帳を公開します。リモートの認証されていない攻撃者は、保存済みの資格情報を知ったり置き換えたりすることなく、SMB ネットワークフォルダ、FTP、デスクトップ、電子メールなどの設定済みスキャン宛先を閲覧および変更できます。

結果として、主に 2 つの攻撃ベクトルが存在します。

1. 資格情報の収集: 既存のスキャン宛先を攻撃者制御のインフラストラクチャにリダイレクトすると、プリンタが保存済みアカウントでそのインフラストラクチャに認証を行います（ネットワーク接続されている場合）
2. サイレントな文書外部漏えい。 攻撃者制御の電子メールアドレスを既存の宛先に追加することで、通常の配信を妨害することなく、スキャンされたすべての文書のコピーが生成されます。

どちらも同じ根本原因に起因します。出荷時構成では、デバイスの Web ページに対するパスワード保護が適用されていません。

影響を受けるモデル

テストで確認済み: MX-3071、MX-M3070、BP-70C45。この動作は、MX モデルと BP モデル全般で一貫しているように見えました。Sharp の勧告には、影響を受ける全モデルとファームウェアのリストが記載されています。

技術的詳細

アドレス帳の露出

/addressbook.html に移動すると、認証プロンプトなしでデバイスのアドレス帳が返されます。これだけで、内部の電子メールアドレス、および多くの場合、内部の SMB パスとホスト名が漏えいします。

エントリを開くと、宛先タイプと、どの宛先がデフォルトに設定されているかが明らかになります。ネットワークフォルダタブを選択すると、事前入力されたネットワークパス、ユーザー名、およびマスクされたパスワードフィールドが表示されます。資格情報の材料はサーバー側に保持され、パスが編集されてもクリアされないため、パスワードを提供または知らなくてもパスを変更できます。

資格情報の窃取

保存された資格情報はパスの変更後も存続するため、攻撃者はネットワークフォルダの宛先を不正な SMB 共有に向けることができます。次回ユーザーがスキャンすると、プリンタは保存済みアカウントで攻撃者のホストに対して発信認証を行います:

外部では、これによりパスワードの長さによってはクラック可能な NTLMv2 ハッシュが得られます。内部ではさらに悪化します。Responder とリレーツールを組み合わせると、SMB 署名のないホストにその材料が直接渡され、何かをクラックする必要がなくなります。スキャン宛先にバインドされたサービスアカウントの権限によっては、ドメインの侵害にエスカレーションする可能性があり、この手法は同僚によってすでに確認され、活用されています。

同じパターンが FTP タブと デスクトップ タブにも当てはまります。保存された資格情報は永続化され、宛先 IP またはパスを書き換えることができます。

電子メール宛先によるサイレントなバックドア

パスの変更にはコストが伴います。実際の配信が壊れるため、ユーザーがスキャンが届いていないことに気づくまでの猶予期間は限られています。

電子メールの亜種はこれを回避します。エントリにネットワークフォルダがデフォルトの宛先として設定されている場合、攻撃者は電子メールタブで電子メールアドレスを追加し、それもデフォルトとしてマークできます。

両方の宛先がエントリ上に並び、それぞれがデフォルトとしてフラグ付けされます:

スキャンは引き続き意図した SMB 共有に届き、攻撃者はすべての文書のコピーを受け取ります。この方法では資格情報は取得されませんが、ユーザーにとって何かが変更されたことを示す機能的な指標はありません。すべてのアドレス帳エントリにわたって繰り返すことで、組織全体の文書フローにバックドアが仕掛けられます。

概念実証

1. https://<printer>/addressbook.html にアクセスします — 認証は要求されません。内部の電子メールアドレスと SMB パスが表示されます。
2. 任意のアドレス帳エントリを開き、Set as Default used とマークされた宛先を確認します。
3. ネットワークフォルダタブを選択します。パス、ユーザー名、および保存済み（マスクされた）パスワードが事前入力されています。
4. ネットワークフォルダのパスを攻撃者制御の SMB 共有に変更して保存します。パスワードは必要ありません。
5. Responder（内部の場合はリレーツールも）を実行し、次のスキャンを待ちます。プリンタは保存済みアカウントで発信認証を行います。
6. あるいは、電子メールタブで攻撃者のアドレスを追加し、Set as Default used をチェックして保存します。スキャン文書は元のネットワークフォルダと攻撃者の両方に配信されます。

開示のタイムライン