【误差通告】PrinterLogic 1月多个清静误差

宣布时间 2022-01-27


0x00 误差概述

PrinterLogic是业内领先的无效劳器企业打印治明确决计划供应商 。。。

2022 年 1 月 21 日 ， ，，，，，Printerlogic宣布清静通告 ， ，，，，，修复了其Web Stack和虚拟装备中的9个清静误差 ， ，，，，，攻击者可以使用其中一些误差在易受攻击的系统上远程执行恣意代码 。。。

 

0x01 误差详情

这9个误差包括：

l  CVE-2021-42631：导致RCE的工具注入

l  CVE-2021-42635：硬编码的APP_KEY导致RCE

l  CVE-2021-42638：导致RCE的下令注入

l  CVE-2021-42633：SQLi可能泄露审计日志

l  CVE-2021-42637：Blind SSRF

l  CVE-2021-42639：反射型XSS

l  CVE-2021-42640：驱动程序分派IDOR

l  CVE-2021-42641：用户名/电子邮件信息泄露

l  CVE-2021-42642：打印机控制台用户名/密码信息泄露

其中最严重的误差为 CVE-2021-42631、CVE-2021-42635 和 CVE-2021-42638 ， ，，，，，其CVSS评分均为 8.1 。。。PrinterLogic现在暂未披露这些误差的详细细节和受影响组件 ， ，，，，，但其体现大大都的装置都不是面向互联网的 。。。

要使用PrinterLogic Web Stack效劳器 ， ，，，，，攻击者需要一个有特权的网络位置 ， ，，，，，如通过VPN或边沿装备的其他误差（即SSRF）举行会见 。。。


影响规模

PrinterLogic Web Stack <= 19.1.1.13 SP9（macOS 或 Linux 端点客户端软件运行时）

PrinterLogic Virtual Appliance <= 20.0.1304（macOS 或 Linux 端点客户端软件运行时）

PrinterLogic SaaS（SaaS 平台自动更新）

注：PrinterLogic Virtual Appliance 若是有VA Host v1.0.674或更高版本 ， ，，，，，则不需要举行主机更新 。。。

 

0x02 处置惩罚建议

现在这些误差已经修复 ， ，，，，，建议受影响用户参考官方通告实时升级更新 。。。

下载链接：

https://www.printerlogic.com/security-bulletin/

 

0x03 参考链接

https://www.printerlogic.com/security-bulletin/

https://securityaffairs.co/wordpress/127194/security/printerlogic-printer-management-suite-flaws.html?

 

0x04 更新版本

版本

日期

修改内容

V1.0

2022-01-27

首次宣布

 

0x05 附录

百乐博简介

百乐博公司建设于1996年 ， ，，，，，并于2010年6月23日在深交所中小板正式挂牌上市 ， ，，，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商 。。。

公司总部位于北京市中关村软件园 ， ，，，，，在天下各省、市、自治区设有分支机构 ， ，，，，，拥有笼罩天下的渠道系统和手艺支持中心 ， ，，，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心 。。。

多年来 ， ，，，，，百乐博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳 ， ，，，，，资助客户周全提升其IT基础设施的清静性和生产效能 ， ，，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲 。。。

 

关于百乐博

百乐博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告 。。。

关注以下公众号 ， ，，，，，获取全球最新清静资讯：

image.png