redr0nin/cve-2026-63563Sharp MX/BP 복합기의 비인증 주소록 수정
공급업체 권고: Sharp 제품 보안 권고 2026-004 (2026년 7월 31일 게시)
Sharp MX/BP 시리즈 다기능 프린터는 기본 구성에서 장치 웹 인터페이스를 통해 인증 없이 주소록을 노출합니다. 원격의 인증되지 않은 공격자는 저장된 자격 증명을 알거나 교체하지 않고도 SMB 네트워크 폴더, FTP, 데스크톱 및 이메일과 같은 구성된 스캔 대상을 조회하고 수정할 수 있습니다.
결과적으로 두 가지 주요 공격 벡터가 존재합니다:
둘 다 동일한 근본 원인에서 비롯됩니다: 출고 구성에서는 장치 웹 페이지에 대한 비밀번호 보호가 적용되지 않습니다.
테스트 중 확인됨: MX-3071, MX-M3070, BP-70C45. 이 동작은 일반적으로 MX 및 BP 모델 전반에 걸쳐 일관되게 나타났습니다. Sharp의 권고에는 영향을 받는 전체 모델 및 펌웨어 목록이 나와 있습니다.
/addressbook.html로 이동하면 인증 프롬프트 없이 장치의 주소록이 반환됩니다. 이는 그 자체로 내부 이메일 주소와, 흔히 내부 SMB 경로 및 호스트 이름을 유출합니다.
항목을 열면 대상 유형과 어떤 대상이 기본값으로 설정되어 있는지 확인할 수 있습니다. 네트워크 폴더 탭을 선택하면 미리 채워진 네트워크 경로, 사용자 이름 및 마스킹된 비밀번호 필드가 표시됩니다. 자격 증명 정보는 서버 측에 유지되며 경로를 편집할 때 지워지지 않으므로, 비밀번호를 제공하거나 알지 못해도 경로를 변경할 수 있습니다.
저장된 자격 증명은 경로 수정 후에도 유지되므로, 공격자는 네트워크 폴더 대상을 악성 SMB 공유로 지정할 수 있습니다. 다음에 사용자가 스캔하면 프린터는 공격자의 호스트로 아웃바운드 인증을 수행합니다:
외부 네트워크에서는 비밀번호 길이에 따라 크랙될 수 있는 NTLMv2 해시가 생성됩니다. 내부 네트워크에서는 더 심각합니다: Responder와 릴레이 도구를 함께 사용하면 SMB 서명이 없는 호스트에 자격 증명 자료를 직접 전달하므로 크랙할 필요가 없습니다. 스캔 대상에 바인딩된 서비스 계정의 권한에 따라 도메인 전체 손상으로 확대될 수 있으며, 이 기법은 이미 동료들에 의해 확인되고 활용되었습니다.
동일한 패턴이 FTP 및 데스크톱 탭에도 적용됩니다. 저장된 자격 증명은 유지되며 대상 IP 또는 경로를 다시 쓸 수 있습니다.
경로 수정에는 비용이 따릅니다: 실제 전달이 중단되므로 사용자가 스캔이 도착하지 않는다는 것을 알아차리기 전까지의 시간이 제한적입니다.
이메일 방식은 이를 피합니다. 항목에 네트워크 폴더가 기본 대상으로 설정되어 있으면, 공격자는 이메일 탭에서 이메일 주소를 추가하고 이를 기본값으로도 표시할 수 있습니다.
이제 두 대상 모두 항목에 있으며 각각 기본값으로 표시됩니다:
스캔은 계속해서 의도된 SMB 공유에 도착하며, 공격자는 모든 문서의 사본을 받습니다. 이 방법으로는 자격 증명을 얻을 수 없지만, 사용자에게는 어떤 것이 변경되었다는 기능적 표시가 없습니다. 이를 모든 주소록 항목에 반복하면 조직 전체의 문서 흐름이 백도어됩니다.
https://<printer>/addressbook.html로 이동합니다 — 인증이 요청되지 않습니다. 내부 이메일 주소와 SMB 경로가 표시됩니다.| 날짜 | 이벤트 |
|---|---|
| 2026년 2월 | 설명 및 개념 증명과 함께 Sharp에 취약점 보고 |
| 2026년 3월 | Sharp가 취약점 확인 |
| 2026년 7월 31일 | Sharp가 권고 및 공개 발표 |