Lexmark打印机肆意代码执行0day缝隙

颁布功夫 2021-06-23

0x00 缝隙概述

CVE    ID


时      间

2021-06-23

类      型

本地代码执行

等      级

高危

远程利用

否

影响领域


攻击复杂度

低

可用性

高

用户交互

无

所需权限

无

PoC/EXP

未公开

在野利用

否

 

0x01 缝隙详情

image.png

Lexmark（利盟）是一家专一于打印和影像解决规划的研发商、出产商及供给商，其客户蕴含零售、金融服务、医疗保健、造作、教育和当局等，其打印机在全球领域内被宽泛使用。

2021年06月21日，国表安全钻研员在Lexmark打印机软件G2装置包中发现了一个肆意代码执行0day缝隙，其CVSSv3根基评分为8.4。

治理员可自界说G2装置包的装置蹊径，LM__bdsvc.exe是打印机通讯系统的一部门。由于LM__bdsvc 中存在一个未加引号的服务蹊径缝隙，攻击者能够通过将一个可执行文件插入服务蹊径来利用此缝隙，当服务或系统沉新启动时，将提升可执行文件的权限。该缝隙无需特殊权限和用户交互即可本地利用，且利用复杂度低。

 

0x02 措置建议

目前，该缝隙已在IBM X-Force（基于云的威胁谍报共享平台）公开披露，但Lexmark暂未建复该缝隙，且暂未颁布有关安全布告。

官方链接：

https://www.lexmark.com/en_us/solutions/security/lexmark-security-advisories.html

 

0x03 参考链接

https://exchange.xforce.ibmcloud.com/vulnerabilities/204093

https://www.lexmark.com/en_us/solutions/security/lexmark-security-advisories.html

https://threatpost.com/lexmark-printers-code-execution-zero-day/167111/

 

0x04 功夫线

2021-06-21  IBM X-Force公开披露

2021-06-23  VSRC颁布安全公告

 

0x05 附录

CVSS评分尺度官网：http://www.first.org/cvss/

image.png