Produktsikkerhet

En mulig feil med unikheten ved et ID-kort er identifisert på kortleserne som er omarbeidet av NT-ware (opprinnelig utviklet og levert av rf IDEAS) og publisert CVE-2024-1578.

Selv om vi ikke har mottatt noen rapporter om misbruk, anbefaler vi at du leser lenken om sikkerhetsoppdateringen.

Du finner mer informasjon om sikkerhetsproblemet, løsninger og utbedringer på:

Sikkerhetsoppdatering: flere tapte tegn på MiCard PLUS-kortleseren

Det er identifisert en potensiell feil med enhetsregistrering i uniFLOW Online og publisert CVE-2024-1621.

Selv om vi ikke har mottatt noen rapporter om misbruk, anbefaler vi at du leser lenken om sikkerhetsoppdateringen.

Du finner mer informasjon om sikkerhetsproblemet, løsninger og utbedringer på:

Sikkerhetsveiledning: Enhetsregistrering som er utsatt for kompromisser

Det ble oppdaget et sikkerhetsproblem i WSD-protokollprosessen som kan forårsake bufferoverløp for enkelte flerfunksjonsskrivere og laserskrivere for små kontorer.

Du finner mer informasjon om sikkerhetsproblemet, løsninger og utbedringer på:

CP2024-002 Løsninger/utbedringer for sikkerhetsproblem for flerfunksjonsskrivere og laserskrivere for små kontorer – Canon PSIRT.

Det er identifisert flere sikkerhetsproblemer for enkelte flerfunksjonsskrivere og laserskrivere for små kontorer.

Disse sikkerhetsproblemene antyder muligheten for at hvis et produkt er koblet direkte til Internett uten å bruke en ruter (kablet eller Wi-Fi), kan en ikke-godkjent ekstern angriper kjøre tilfeldig kode på enheten. De kan også være i stand til å ta produktet i et DoS-angrep (Denial-of-Service) via Internett.

<Bufferoverløp>
CVE-2023-6229
CVE-2023-6230
CVE-2023-6231
CVE-2023-6232
CVE-2023-6233
CVE-2023-6234
CVE-2024-0244

Det har ikke blitt rapportert om at disse sikkerhetsproblemene utnyttes. For å forbedre sikkerheten til produktet anbefaler vi imidlertid at kundene våre installerer den nyeste fastvaren som er tilgjengelig for de berørte modellene som er oppgitt nedenfor. Vi anbefaler også at kundene våre angir en privat IP-adresse for produkter, og opprett et nettverksmiljø med en brannmur eller Wi-Fi-ruter eller kablet ruter som kan begrense nettverkstilgangen.

Hvis du vil ha mer informasjon om hvordan du sikrer produkter når du er koblet til et nettverk, kan du gå til produktsikkerhet.

Vi kommer til å fortsette arbeidet med å styrke sikkerhetstiltakene våre ytterligere for å sikre at du trygt kan fortsette å bruke Canon-produktene dine. Vi oppdaterer denne artikkelen hvis disse sikkerhetsproblemene oppdages hos andre produkter.

Kontroller berørte modeller.

Du finner mer informasjon om fastvare, programvare og produktstøtte i Support.

Canon ønsker å rette en takk til følgende brukere for å ha identifisert disse sikkerhetsproblemene:

• CVE-2023-6229: Nguyen Quoc (Viet) i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-6230: Anonym i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-6231: Team Viettel i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-6232: ANHTUD i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-6233: ANHTUD i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-6234: Team Viettel i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2024-0244: Connor Ford (@ByteInsight) i Nettitude i samarbeid med Trend Micro’s Zero Day Initiative

Du finner mer informasjon om sikkerhetsproblemet, løsninger og utbedringer på:

CP2023-003 Løsninger og utbedringer for sikkerhetsproblem for blekkskrivere (hjemme og kontor / storformat) – Canon PSIRT

Beskrivelse

Det er identifisert to sikkerhetsproblemer for IJ Network Tool (heretter kalt «programvaren»). Disse sikkerhetsproblemene tyder på at en angriper som er koblet til det samme nettverket som skriveren, kan få tak i sensitiv informasjon om konfigurasjonen av Wi-Fi-tilkoblingen på skriveren ved hjelp av programvaren eller ved å referere til kommunikasjonen mellom skriveren og programvaren.

CVE/CVSS

CVE-2023-1763: Innhenting av sensitiv informasjon om konfigurasjonen av Wi-Fi-tilkoblingen for skriveren fra programvaren. CVSS v3 CVSS: 3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N Grunnleggende vurdering: 6,5.

CVE-2023-1764: Innhenting av sensitiv informasjon om konfigurasjonen av Wi-Fi-tilkoblingen for skriveren fra kommunikasjonen med programvaren. CVSS v3 CVSS: 3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N Grunnleggende vurdering: 6,5.

Berørte produkter

Følgende modeller er berørt av CVE-2023-1763: 

Mac Network Tool: 

MAXIFY iB4040, MAXIFY iB4050, MAXIFY iB4140, MAXIFY iB4150

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2140, MAXIFY MB2150, MAXIFY MB2155, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB2740, MAXIFY MB2750, MAXIFY MB2755, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5140, MAXIFY MB5150, MAXIFY MB5155, MAXIFY MB5340, MAXIFY MB5350, MAXIFY MB5440, MAXIFY MB5450, MAXIFY MB5455

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Windows Network Tool: 

Ikke aktuelt

Følgende modeller er berørt av CVE-2023-1764: 

Mac Network Tool: 

MAXIFY iB4040, MAXIFY iB4050, MAXIFY iB4140, MAXIFY iB4150

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2140, MAXIFY MB2150, MAXIFY MB2155, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB2740, MAXIFY MB2750, MAXIFY MB2755, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5140, MAXIFY MB5150, MAXIFY MB5155, MAXIFY MB5340, MAXIFY MB5350, MAXIFY MB5440, MAXIFY MB5450, MAXIFY MB5455

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Windows Network Tool: 

MAXIFY iB4040, MAXIFY iB4050

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5340, MAXIFY MB5350

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG~6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Berørte versjoner

Følgende versjoner er berørt av CVE-2023-1763: 

Mac Network Tool: 

Versjon 4.7.5 og eldre (støttet operativsystem: OS X 10.9.5-macOS 13) 

Versjon 4.7.3 og eldre (støttet operativsystem: OS X 10.7.5-OS X 10.8)

Windows Network Tool: 

Ikke aktuelt

Følgende versjoner er berørt av CVE-2023-1764: 

Mac Network Tool: 

Versjon 4.7.5 og eldre (støttet operativsystem: OS X 10.9.5-macOS 13) 

Versjon 4.7.3 og eldre (støttet operativsystem: OS X 10.7.5-OS X 10.8)

Windows Network Tool: 

Versjon 3.7.0

Løsning/utbedring

For CVE-2023-1763: 

Den midlertidige løsningen for dette sikkerhetsproblemet er å bruke skrivere med en pålitelig nettverkstilkobling. Se mer informasjon om sikkerhet for produkter koblet til et nettverk her. 

For Mac Network Tool kan du også laste ned de oppdaterte programvareversjonene som er utgitt. 

Hvis du vil vite hvordan du oppdaterer programvaren for MAXIFY- og PIXMA-blekkskrivere til versjon 4.7.6 (støttet operativsystem: OS X 10.9.5-macOS 13) eller versjon 4.7.4 (støttet operativsystem: OS X 10.7.5-OS X 10.8), kan du gå til nedlastingssiden for programvare Consumer Product Support og velge modellen din, velge programvarefanen og velge IJ Network Tool eller Wi-Fi Connection Assistant.

For CVE-2023-1764: 

Den midlertidige løsningen for dette sikkerhetsproblemet er å bruke skrivere med en pålitelig nettverkstilkobling. Se mer informasjon om sikkerhet for produkter koblet til et nettverk her.

Kreditter

Canon vil gjerne takke National Cyber Security Center Nederland for rapporten om disse sikkerhetsproblemene.

Det er identifisert flere sikkerhetsproblemer for enkelte flerfunksjonsskrivere for kontorer/små kontorer, laserskrivere og blekkskrivere.

Disse sikkerhetsproblemene antyder muligheten for at hvis et produkt er koblet direkte til Internett uten å bruke en ruter (kablet eller Wi-Fi), kan en ikke-godkjent ekstern angriper kjøre tilfeldig kode på enheten. De kan også være i stand til å ta produktet i et DoS-angrep (Denial-of-Service) via Internett. En angriper kan også kunne installere tilfeldige filer på grunn av feil godkjenning av RemoteUI (eksternt brukergrensesnitt).

<Bufferoverløp>
CVE-2023-0851
CVE-2023-0852
CVE-2023-0853
CVE-2023-0854
CVE-2023-0855
CVE-2023-0856
CVE-2022-43974

<Problemer under første registrering av systemadministratorer i kontrollprotokoller>
CVE-2023-0857

<Feil godkjenning av RemoteUI (eksternt brukergrensesnitt)>
CVE-2023-0858

<Installasjon av tilfeldige filer>
CVE-2023-0859

Det har ikke blitt rapportert om at disse sikkerhetsproblemene utnyttes. For å forbedre sikkerheten til produktet anbefaler vi imidlertid at kundene våre installerer den nyeste fastvaren som er tilgjengelig for de berørte modellene som er oppgitt nedenfor. Vi anbefaler også at kundene våre angir en privat IP-adresse for produkter, og opprett et nettverksmiljø med en brannmur eller Wi-Fi-ruter eller kablet ruter som kan begrense nettverkstilgangen.

Hvis du vil ha mer informasjon om hvordan du sikrer produkter når du er koblet til et nettverk, kan du gå til produktsikkerhet.

Vi kommer til å fortsette arbeidet med å styrke sikkerhetstiltakene våre ytterligere for å sikre at du trygt kan fortsette å bruke Canon-produktene dine. Vi oppdaterer denne artikkelen hvis disse sikkerhetsproblemene oppdages hos andre produkter.

Kontroller berørte modeller.

Du finner mer informasjon om fastvare, programvare og produktstøtte i Support.

Hvis du vil ha informasjon om hvordan du oppdaterer fastvaren for MAXIFY-, PIXMA- og imagePROGRAF-blekkskrivere, kan du se i den elektroniske håndboken.

Canon ønsker å rette en takk til følgende brukere for å ha identifisert disse sikkerhetsproblemene:

• CVE-2023-0851: Namnp, Le Tran Hai Tung, ANHTUD i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0852: R-SEC, Nettitude i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0853: DEVCORE i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0854: DEVCORE i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0855: Chi Tran i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0856: Team Viettel i samarbeid med Trend Micro’s Zero Day Initiative
• CVE-2023-0857: Alex Rubin og Martin Rakhmanov
• CVE-2023-0858: Alex Rubin og Martin Rakhmanov
• CVE-2023-0859: Alex Rubin og Martin Rakhmanov

Det er oppdaget et potensielt sikkerhetsproblem med dataeksponering i uniFLOW Server og uniFLOW Remote Print Server.

Selv om vi ikke har mottatt noen rapporter om utnyttelse, anbefaler vi at du oppgraderer enhetsfastvaren til den nyeste versjonen.

Du finner mer informasjon om sikkerhetsproblemet, løsninger og utbedringer på:

Sikkerhetsoppdatering: Sikkerhetsproblem for uniFLOW MOM Tech Support – Støtte for NT-ware

Flere tilfeller av sikkerhetsproblemer med bufferoverløp er identifisert hos Canons laserskrivere og flerfunksjonsskrivere for små kontorer.

Selv om vi ikke har mottatt noen rapporter om utnyttelse, anbefaler vi at du oppgraderer enhetsfastvaren til den nyeste versjonen.

Dette sikkerhetsproblemet tyder på at hvis et produkt er koblet direkte til Internett uten bruk av en kablet ruter eller Wi-Fi-ruter, kan en tredjepart på Internett kjøre tilfeldig kode eller produktet kan bli utsatt for tjenestenektangrep.

Vi anbefaler ikke at du kobler enheten direkte til Internett. Du bør bruke en privat IP-adresse på et sikkert privat nettverk som er konfigurert via en brannmur eller en kablet ruter eller Wi-Fi-ruter. Gå til www.canon-europe.com/support/product-security hvis du vil ha informasjon om sikkerhet for produkter koblet til et nettverk.

Vi kommer til å fortsette arbeidet med å styrke sikkerhetstiltakene våre ytterligere for å sikre at du trygt kan fortsette å bruke Canon-produktene dine. Vi oppdaterer denne artikkelen hvis dette sikkerhetsproblemet oppdages hos andre produkter.

Kontroller berørte modeller.

Du finner mer informasjon om fastvare, programvare og produktstøtte i Support.

Canon ønsker å rette en takk til følgende bruker for å identifisere dette sikkerhetsproblemet.

• CVE-2022-43608: Angelboy (@scwuaptx) fra forskningsteamet DEVCORE i samarbeid med Trend Micros Zero Day Initiative

Flere tilfeller av sikkerhetsproblemer med bufferoverløp er identifisert hos Canons laserskrivere og flerfunksjonsskrivere for små kontorer. Relaterte CVE-er er: CVE-2022-24672, CVE-2022-24673 og CVE-2022-24674. Nedenfor finner du en liste over berørte modeller.

Selv om vi ikke har mottatt noen rapporter om utnyttelse, må du oppgradere enhetsfastvaren til den nyeste versjonen.

Dette sikkerhetsproblemet tyder på at hvis et produkt er koblet direkte til Internett uten bruk av en kablet ruter eller Wi-Fi-ruter, kan en tredjepart på Internett kjøre tilfeldig kode eller produktet kan bli utsatt for tjenestenektangrep.

Vi anbefaler ikke at du kobler enheten direkte til Internett. Du bør bruke en privat IP-adresse på et sikkert privat nettverk som er konfigurert via en brannmur eller en kablet ruter eller Wi-Fi-ruter. Gå til www.canon-europe.com/support/product-security hvis du vil ha informasjon om sikkerhet for produkter koblet til et nettverk.

Vi fortsetter arbeidet med å styrke sikkerhetstiltakene ytterligere for å sikre at du trygt kan fortsette å bruke Canon-produktene dine. Hvis det oppdages sikkerhetsproblemer hos andre produkter, oppdaterer vi denne artikkelen umiddelbart.

Laserskrivere og flerfunksjonsskrivere for små kontorer som krever mottiltak:

ImageRUNNER 1133, 1133A, 1133iF3
ImageRUNNER 1435, 1435i, 1435iF, 1435P
imageRUNNER 1643i II, 1643iF II
imageRUNNER 1643i, 1643iF
imageRUNNER C1225, C1225iF
ImageRUNNER C1325iF, C1335iF, C1335iFC
imageRUNNER C3025, C3025i
imageRUNNER C3125i
i-SENSYS LBP214dw, LBP215x
i-SENSYS LBP223dw, LBP226dw, LBP228x
i-SENSYS LBP233dw, LBP236dw
i-SENSYS LBP251dw, LBP252dw, LBP253x
i-SENSYS LBP611Cn, LBP613Cdw
i-SENSYS LBP621Cw, LBP623Cdw
i-SENSYS LBP631Cw, LBP633Cdw
i-SENSYS LBP653Cdw, LBP654x
i-SENSYS LBP663Cdw, LBP644Cx
i-SENSYS MF411dw, MF416dw, MF418x, MF419x
i-SENSYS MF421dw, MF426dw, MF428x, MF429x
i-SENSYS MF443dw MF445dw, MF446x, MF449x
i-SENSYS MF453dw, MF455dw
i-SENSYS MF512x, MF515x
i-SENSYS MF542x, MF543x
i-SENSYS MF552dw, MF553dw
i-SENSYS MF6140dn, MF6180dw
i-SENSYS MF623Cn, MF628Cw
i-SENSYS MF631Cn, MF633Cdw, MF635Cx
i-SENSYS MF641Cw, MF643Cdw, MF645Cx
i-SENSYS MF651Cw, MF655Cdw, MF657Cdw
i-SENSYS MF724Cdw, MF728Cdw, MF729Cx
i-SENSYS MF732Cdw, MF734Cdw, MF735Cx
i-SENSYS MF742Cdw, MF 744Cdw, MF746Cx
i-SENSYS MF8230Cn, MF8230Cw
i-SENSYS MF8540Cdn, MF8550Cdn, MF8580Cdw
i-SENSYS X 1238i II, 1238iF II
i-SENSYS X 1238i, 1238iF
i-SENSYS X 1238Pr II, 1238P II
i-SENSYS X 1238Pr, 1238P
i-SENSYS X C1127i, C1127iF
i-SENSYS X C1127P
WG7440, 7450, 7450F, 7450Z
WG7540, 7550, 7550F, 7550Z

Du finner mer informasjon om fastvare, programvare og produktstøtte i Support.

CANON ønsker å rette en takk til følgende personer for å identifisere dette sikkerhetsproblemet.

• CVE-2022-24672: Mehdi Talbi (@abu_y0ussef), Remi Jullian (@netsecurity1), Thomas Jeunet (@cleptho) fra @Synacktiv i samarbeid med Trend Micros Zero Day Initiative
• CVE-2022-24673: Angelboy (@scwuaptx) fra forskningsteamet DEVCORE i samarbeid med Trend Micros Zero Day Initiative
• CVE-2022-24674: Nicolas Devillers ( @nikaiw ), Jean-Romain Garnier og Raphael Rigo ( @_trou_ ) i samarbeid med Trend Micros Zero Day Initiative

Et Spring MVC- eller Spring WebFlux-program som kjører på JDK 9+, kan være sårbart overfor ekstern kjøring av kode (RCE) via databinding. Den bestemte skadelige koden krever at programmet kjøres på Tomcat som en WAR-distribusjon. Hvis programmet er distribuert som en kjørbar Spring Boot JAR-fil, dvs. standarden, er det ikke sårbart overfor sikkerhetsproblemet. Sikkerhetsproblemet er imidlertid mer generelt, og det kan finnes måter å utnytte det på. Filen med den skadelige koden kan gjøre nesten hva som helst. Den kan lekke data eller hemmeligheter, starte opp annen programvare, for eksempel løsepengevirus, utvinne kryptovaluta, introdusere bakdører eller opprette et springbrett lenger inn i et nettverk.

https://cpp.canon/products-technologies/security/latest-news/

Målet med denne siden er å vise en liste over produksjonsutskriftsprodukter fra Canon som kan være berørt av følgende CVE-rapporter:

• CVE-2022-22947
• CVE-2022-22950
• CVE-2022-22963
• CVE-2022-22965

Tabellen nedenfor viser status for sikkerhetsproblemet for maskinvare og programvare for produksjonsutskriftsproduktene som er oppført. Kom tilbake senere for å kontrollere den oppdaterte statusen.

Vurderte produkter og status

CTS – Enkeltark- og tonersystemer / blekkpresse med arkmater

Produkter	Status
Utskriftsserverbaserte PRISMAsync-produkter	Ikke berørt
varioPRINT 140-serien	Ikke berørt
varioPRINT 6000-serien	Ikke berørt
varioPRINT i-serien	Ikke berørt
varioPRINT iX-serien	Ikke berørt
Servicekontrollstasjon (SCS) for VPi300-serien og VPiX-serien	Ikke berørt
Nettbrett for VPi300-serien og VPiX-serien	Ikke berørt
PRISMAsync i300/iX Simulator	Ikke berørt
PRISMAprepare V6	Ikke berørt
PRISMAprepare V7	Ikke berørt
PRISMAprepare V8	Ikke berørt
PRISMAdirect V1	Ikke berørt
PRISMAprofiler	Ikke berørt
PRISMA Cloud PRISMA Home PRISMAprepare Go PRISMAlytics Accounting	Ikke berørt

PPP – Produksjonsutskriftsprodukter

Produkter	Status
ColorStream 3×00 ColorStream 3x00Z	Ikke berørt
Colorstream 6000	Ikke berørt
ColorStream 8000	Ikke berørt
ProStream 1×00	Ikke berørt
LabelStream 4000-serien	Ikke berørt
ImageStream	Ikke berørt
JetStream V1 JetStream V2	Ikke berørt
VarioStream 4000	Ikke berørt
VarioStream 7000-serien	Ikke berørt
VarioStream 8000	Ikke berørt
PRISMAproduction Server V5	Ikke berørt
PRISMAproduction Host	Ikke berørt
PRISMAcontrol	Ikke berørt
PRISMAspool	Ikke berørt
PRISMAsimulate	Ny versjon tilgjengelig*
TrueProof	Ikke berørt
DocSetter	Ikke berørt
DPconvert	Ikke berørt

*Kontakt din lokale servicerepresentant for Canon

LFG – Grafikkutskrift i storformat

Produkter	Status
Arizona-serien	undersøkes
Colorado-serien	Ikke berørt
ONYX HUB	undersøkes
ONYX Thrive	undersøkes
ONYX ProductionHouse	undersøkes

TDS – Tekniske dokumentbehandlingssystemer

Produkter	Status
TDS-serien	Ikke berørt
PlotWave	Ikke berørt
ColorWave	Ikke berørt
Scanner Professional	Ikke berørt
Driver Select, Driver Express, Publisher Mobile	Ikke berørt
Publisher Select	Ikke berørt
Account Console	Ikke berørt
Repro Desk	Ikke berørt

Service- og støtteverktøy

Produkter	Status
Under ekstern service	Ikke berørt

Det er bekreftet et sikkerhetsproblem i RSA-nøkkelgenereringsprosessen i det kryptografiske biblioteket på Canons flerfunksjonsskrivere, laserskrivere og blekkskrivere for store bedrifter / små kontorer. Nedenfor finner du en fullstendig liste over berørte produkter.

Faren med dette sikkerhetsproblemet er at privatnøkkelen for RSA-fellesnøkkelen kan beregnes av noen på grunn av problemer i genereringsprosessen for RSA-nøkkelpar.
Hvis RSA-nøkkelparet som brukes for TLS eller IPSec, genereres av et kryptografisk bibliotek med dette sikkerhetsproblemet, kan denne RSA-fellesnøkkelen misbrukes av en tredjepart eller til og med forfalskes.

Vi har ikke mottatt noen hendelsesrapporter om utnyttelse av dette sikkerhetsproblemet så langt, og brukere kan være trygge på at problemet på de berørte produktenes fastvare blir løst

I tilfeller der RSA-nøkkelparet ble opprettet av det kryptografiske biblioteket med dette sikkerhetsproblemet, må det iverksettes ytterligere tiltak etter fastvareoppdateringen. Se fremgangsmåte for å kontrollere nøkkelen og iverksette tiltak som beskrevet nedenfor.

I tillegg må du ikke koble produktene direkte til Internett, men bruke brannmur eller kablet nettverk. Hvis du bruker Wi-Fi-ruter, må du bruke et sikret beskyttet privat nettverksmiljø. Angi også en privat IP-adresse.

Hvis du vil ha mer informasjon, kan du se Sikre produkter ved tilkobling til et nettverk.

Berørte ferfunksjonsskrivere, laserskrivere og blekkskrivere for store bedrifter / små kontorer.

imagePROGRAF TZ-30000
imagePROGRAF TX-4100/3100/2100
iPR C165/C170
iR 1643i II, iR 1643iF II
iR 2425
iR 2645/2635/2630
iR-ADV 4551/4545/4535/4525
iR-ADV 4551Ⅲ/4545 Ⅲ/4535 Ⅲ/4525 Ⅲ
iR-ADV 4725/4735/4745/4751
iR-ADV 527/617/717
iR-ADV 6000
iR-ADV 6575/6565/6560/6555
iR-ADV 6575Ⅲ/6565Ⅲ/6560Ⅲ
iR-ADV 6755/6765/6780
iR-ADV 6855/6860/6870
iR-ADV 715/615/525
iR-ADV 715Ⅲ/615Ⅲ/525Ⅲ
iR-ADV 8505/8595/8585
iR-ADV 8505Ⅲ/8595Ⅲ/8585Ⅲ
iR-ADV 8705/8705B/8795
iR-ADV C256Ⅲ/C356Ⅲ
iR-ADV C257/C357
iR-ADV C3530/C3520
iR-ADV C3530Ⅲ/C3520Ⅲ
iR-ADV C355/255
iR-ADV C356/256
iR-ADV C3730/C3720
iR-ADV C3830/C3826/C3835
iR-ADV C475Ⅲ
iR-ADV C477/C478
iR-ADV C5560/5550/5540/5535
iR-ADV C5560Ⅲ/5550Ⅲ/5540Ⅲ/5535Ⅲ
iR-ADV C5760/5750/5740/5735
iR-ADV C5870/C5860/C5850/C5840
iR-ADV C7580/C7570/C7565
iR-ADV C7580Ⅲ/C7570Ⅲ/C7565Ⅲ
iR-ADV C7780/C7770/C7765
iRC3226
i-SENSYS X 1238 II, i-SENSYS X 1238iF II
i-SENSYS X 1238P II, i-SENSYS X 1238Pr II
LBP233Dw, LBP236Dw
LBP631Cw, LBP633Cdw
MF: 453dw, MF455dw
MF552dw, MF553dw
MF651dw, MF655Cdw, MF657Cdw
PRO-G1/PRO-300,PRO-S1/PRO-200
ImagePROGRAF GP-200/300/2000/4000
MAXIFY GX6040
MAXIFY GX6050
MAXIFY GX7040
MAXIFY GX7050
MF830Cx, MF832Cx, MF832Cdw, iR C1533, C1538
LBP720Cx/LBP722Cx/LBP722Ci/LBP722Cdw/C1533P/C1538P

Fremgangsmåte for å kontrollere og løse problemer for blekkskrivernøkkel

Du finner mer informasjon om fastvare, programvare og produktstøtte i Support.

Vi undersøker for øyeblikket i hvilken grad sikkerhetsproblemet Log4j https://logging.apache.org/log4j/2.x/security.html har berørt Canon-produkter. Vi oppdaterer denne artikkelen fortløpende.

Tabellen nedenfor viser status for sikkerhetsproblemet for maskinvare- og programvareproduktene som er oppført. Kom tilbake senere.

Produkt	Status/kunngjøring
Canon • imageRUNNER • imageRUNNER ADVANCE • imagePRESS • i-SENSYS • i-SENSYS X • imagePROGRAF • imageFORMULA	Disse enhetene er ikke berørt.
Canon • imageWARE Management Console • imageWARE Enterprise Management Console • eMaintenance Optimiser • eMaintenance Universal Gateway • Canon Data Collection Agent • Remote Support Operator Kit • Content Delivery Service • Device Settings Configurator • Canon Reporting Service Online • OS400 Object Generator • CQue Driver • SQue Driver	Programvare er ikke berørt.
Canon Production Printing • PRISMA enkeltark- og tonersystemer • Kontinuerlig utskrift • Grafikkutskrift i storformat • Tekniske dokumentbehandlingssystemer	https://cpp.canon/products-technologies/security/latest-news/
NT-ware • uniFLOW • uniFLOW Online • uniFLOW Online Express • uniFLOW sysHub • PRISMAsatellite	https://www.uniflow.global/en/security/security-and-maintenance/
Avantech • Scan2x • Scan2x Online	Scan2x-kunngjøring om sikkerhetsproblemet Log4J – scan2x
Cirrato • Cirrato One • Cirrato Embedded	Ikke berørt.
Compart • DocBridge Suite	Informasjon – Compart
Docspro • Import Controller • XML Importer • Email Importer • Knowledge Base • Universal Test Release • Advanced PDF Creator • Webservice Export Connector	Ikke berørt.
Docuform • Mercury Suite	Ikke berørt.
Doxsense • WES Pull Print 2.1 • WES Authentication 2.1	Ikke berørt.
EFI • Fiery	https://communities.efi.com/s/feed/0D55w00009ARpbxCAD?language=en_US
Genius Bytes • Genius MFP Canon Client	Sikkerhetsproblemet Log4j Zero Day – Genius Bytes Ikke berørt
IRIS • IRISXtract • IRISPowerscan • Readiris PDF 22 • Readiris 16 og 17 • Cardiris • IRISPulse	IRIS-Statement-Log4J_20141217.pdf (irisdatacapture.com)
Kantar • Discover Assessment-nettundersøkelse	Ikke berørt.
Kofax • PowerPDF • eCopy ShareScan • Robotisert prosessautomatisering • Kofax Communication Manager-løsning	Informasjon om Kofax-produkter og Apache Log4j2-sikkerhetsproblem – Kofax Ikke berørt. Til ShareScan-oppdateringene er klare, følger du trinnene i ShareScan- og Log4j-sikkerhetsproblemet (CVE-2021-44228) – Kofax-artikkelen. Oppdateringer er tilgjengelige. Se artikkelen om Kofax RPA CVE-2021-44228 log4j-sikkerhetsinformasjon. Oppdateringer er tilgjengelige. Se artikkelen om log4j-sikkerhetsproblemet i Kofax Communications Manager.
Netaphor • SiteAudit	SiteAudit-sikkerhetsproblem | Netaphor SiteAudit(TM) Knowledgebase
Netikus • EventSentry	Er EventSentry berørt av Log4Shell Log4j RCE CVE-2021-44228 | EventSentry
Newfield IT • Asset DB	Ikke berørt.
Objectif Lune • Tilkobling	Tidligere versjoner av Objectif Lune Connect brukte log4j-modulen, men den ble fjernet fra programvaren med utgivelsen av Objectif Lune Connect 2018.1. Så lenge du kjører en versjon av Objectif Lune Connect som er 2018.1 eller nyere, er ikke sikkerhetsproblemet til stede.
OptimiDoc • OptimiDoc	OptimiDoc | Log4j-informasjon
Overall • Print In City	Ikke berørt.
PaperCut • PaperCut	Log4Shell (CVE-2021-44228) – hvordan er PaperCut berørt? | PaperCut
Paper River • TotalCopy	Ikke berørt.
Ringdale • FollowMe Embedded	Ikke berørt.
Quadient • Inspire Suite	Quadient University – Informasjon om Log4J for eksisterende kunder
T5 Solutions • TG-PLOT/CAD-RIP	Ikke berørt.
Therefore • Therefore • Therefore Online	https://therefore.net/log4j-therefore-unaffected/
Westpole • Intelligent Print Management	Ikke berørt.

Det er oppdaget et sikkerhetsproblem for skript i fjernkontrollfunksjonen for laserskrivere og flerfunksjonsenheter for små kontorer fra Canon. Se de berørte modellene nedenfor (identifikasjonsnummer for sikkerhetsproblem: JVN # 64806328).

For at dette sikkerhetsproblemet skal kunne utnyttes, må angriperen være i administratormodus. Selv om det ikke har blitt rapportert om datatap, anbefaler vi at du installerer den nyeste fastvaren for å forbedre sikkerheten. Du finner oppdateringer på https://www.canon-europe.com/support/.

Vi anbefaler også at du bruker en privat IP-adresse og et nettverksmiljø som sikrer at tilkoblingen opprettes via en brannmur eller en Wi-Fi-ruter som kan begrense nettverkstilgangen. Du finner mer informasjon om sikkerhetstiltak ved tilkobling av enheter til et nettverk på https://www.canon-europe.com/support/product-security/.

Berørte produkter:

iSENSYS

LBP162DW
LBP113W
LBP151DW<
MF269dw, MF267dw, MF264dw
MF113w
MF249dw, MF247dw, MF244dw, MF237w, MF232w
MF229dw, MF217w, MF212w
MF4780w, MF4890dw

imageRUNNER

2206IF
2204N, 2204F

Tidligere i år ble det oppdaget et sikkerhetsproblem med Microsoft Windows Print Spooler, omtalt som "PrintNightmare". Sikkerhetsproblemet gjør det mulig for hackere å ta kontroll over brukernes Windows-systemer under visse forhold.

Selv om dette kan berøre brukere av Canon-enheter, er dette et resultat av en feil i Microsoft-programvare og ikke et problem med Canons produkter eller programvare. Selve problemet ligger i funksjonaliteten for utskriftskø som er installert på hver enkelt Windows Server- og Windows-skrivebordsenhet.

Microsoft har kunngjort at disse sikkerhetsproblemene ble løst med sikkerhetsoppdateringen for Microsoft 6. juli, som er tilgjengelig via Windows Update eller ved å laste ned og installere KB5004945. Microsoft anbefaler på det sterkeste at IT-avdelingen installerer denne oppdateringen umiddelbart for å forhindre inntrengning relatert til disse sikkerhetsproblemene. Gå til https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 for å få mer informasjon om saken fra Microsoft.

I tillegg til å installere oppdateringene som anbefalt fra Microsoft, anbefaler vi at du kontrollerer at følgende registerinnstillinger er angitt til 0 (null) eller ikke er definert for å sikre systemet. (Merk: Disse registernøklene finnes ikke som standard, og er derfor allerede i sikker innstilling.) Du bør også kontrollere at innstillingen for gruppepolicy er riktig:

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
• NoWarningNoElevationOnInstall = 0 (DWORD) eller ikke definert (standardinnstilling)
• UpdatePromptSettings = 0 (DWORD) eller ikke definert (standardinnstilling)

Hvis registernøkkelen NoWarningNoElevationOnInstall er satt til 1, reduseres systemets sikkerhetssituasjon.

Vi anbefaler at IT-ansvarlig fortsetter å overvåke Microsofts webområde for kundestøtte for å sikre at alle aktuelle oppdateringer for det underliggende operativsystemet blir installert.

Etter nøye undersøkelser har vi fastslått at ingen imageRUNNER-, imageRUNNER ADVANCE- eller i-SENSYS-produkter er berørt av dette sikkerhetsproblemet. Vi fortsetter undersøkelsene på tvers av Canon-produktserien og oppdaterer denne artikkelen etter hvert som ytterligere informasjon blir tilgjengelig.

Federal Office for Information Security har gjort oss oppmerksomme på at nettverksimplementeringen i microMIND er sårbar for en rekke bedrifter. Disse sikkerhetsproblemene ble oppdaget av Forescout Technologies og forskerne Jos Wetzels, Stanislav Dashevskyi, Amine Amri og Daniel dos Santos.

microMIND bruker uIP-nettverksstakken med åpen kildekode, https://en.wikipedia.org/wiki/UIP_(micro_IP), som brukes av tusenvis av selskaper til å koble programvare/maskinvare til Internett. Forskerne har funnet ut at, hvis enheten er utnyttet, kan disse sikkerhetsproblemene resultere i et tjenestenektangrep som frakobler enheten eller utfører en ekstern kjøring av kode på microMIND. NT-ware har utgitt en ny fastvare som retter opp alle rapporterte feil. I skrivende stund finnes det ingen kjente utnyttelser av microMIND.

Navn/kobling: AMNESIA:33, https://www.forescout.com/amnesia33/

CVE-er omtalt i denne fastvaren: CVE-2020-13988, CVE-2020-13987, CVE-2020-17438, CVE-2020-17437

CVE-er som ikke er relatert til microMIND-implementering av uIP-stakken: CVE-2020-17440, CVE-2020-17439, CVE-2020-24334, CVE-2020-24335

uniFLOW microMIND-fastvare som er berørt: versjon 2.0.9 og eldre eller versjoner levert før oktober 2020.

Løsning/tiltak: Hvis du har en berørt microMIND-enhet, må du kontakte Canon-representanten din for å avtale oppgradering av fastvaren.

Et sikkerhetsselskap med hovedkontor i Israel, SCADAfence Ltd., gjorde oss oppmerksomme på et sikkerhetsproblem knyttet til IP-stakkprotokollen, som brukes av Canon laserskrivere og multifunksjonsskrivere for små kontorer. Du finner mer informasjon i CVE-2020-16849.

Det finnes en mulighet for et tredjepartsangrep på enheten når den kobles til et nettverk, som gjør at deler av adresseboken eller administratorpassordet kan innhentes via et usikret nettverk. Vær oppmerksom på at når HTTPS brukes til kommunikasjon av eksternt brukergrensesnitt, sikres dataene med kryptering.

På nåværende tidspunkt er det ingen bekreftede tilfeller av at noen har utnyttet disse svakhetene til å gjøre skade. For å sikre at kundene våre kan bruke produktene våre på en sikker måte, vil imidlertid ny fastvare være tilgjengelig for følgende produkter:

i-SENSYS MF-serien
MF113W
MF212 W/MF216N/MF217W
MF226DN/MF229DW
MF231/MF232W/MF237W
MF244DW/MF247DW/MF249DW
MF264DW/MF267DW/MF269DW
MF4570DN/MF4580DN
MF4780W
MF4870DN/MF4890DW

i-SENSYS LBP-serien
LBP113W
LBP151DW
LBP162DW

imageRUNNER-serien
IR2202N
IR2204N/IR2204F
IR2206N/IR2206IF

Se i brukerhåndboken hvis du vil ha mer informasjon om hvordan du oppdaterer fastvaren.
Vi anbefaler at du bruker en privat IP-adresse for produkter samt nettverksparameterkontroller, for eksempel bruk av en brannmur eller Wi-Fi-ruter som kan begrense nettverkstilgangen. Avsnittet Sikkerhet for produkter som er koblet til et nettverk lenger nede på denne siden ekstra veiledning.

Det ikke blitt identifisert noen problemer med Canon-skriverprodukter etter gransking av sikkerhetsproblemet «Ripple20».

Selv om passordet for Canons trådløsfunksjon samsvarer med den gjeldende WPA-standarden, er vi blitt gjort oppmerksomme på at sikkerheten du får gjennom et numerisk passord på åtte tegn, ikke lenger anses som sterk nok. Vi anbefaler derfor at i miljøer der trådløs sikkerhet er særlig viktig, for eksempel på offentlige steder, skal Canon-utstyr alltid være koblet til distribuert Wi-Fi-infrastruktur. Vi tar sikkerhet på alvor. Vi oppdaterer Wi-Fi-sikkerhetskonfigurasjonene på alle produktene våre for å hjelpe deg med å ivareta sikkerheten. Oppdateringer publiseres på disse sidene. Canon takker REDTEAM.PL som har gjort oss oppmerksomme på endringen for passordsikkerheten og dens følger på markedet.

imageRUNNER ADVANCE-programvareplattform versjon 3.8 og nyere introduserte syslogprotokollen (kompatibel med RFC 5424, RFC 5425 og RFC 5426) – en meldingsfunksjon for hendelser i nær sanntid som legges til eksisterende enhetslogging for å øke synligheten for enheten og enhetens sikkerhetshendelser. Denne funksjonen bygger på enhetens loggfunksjon og tillater tilkobling til en eksisterende SIEM- eller syslogserver. SIEM_spec-dokumentet nedenfor inneholder informasjon om meldingstyper og loggdata som kan genereres.

Elleve sikkerhetsproblemer, kalt «URGENT/11» (CVE-2019-12255 til CVE-2019-12265), er identifisert i VxWorks operativsystemet. Det har kommer frem at IPnet TCP/IP-stakken som brukes i VxWorks operativsystemet, også har blitt brukt i andre sanntidsoperativsystemer. Dette åpner opp for sikkerhetsproblemer (CVE-2019-12255, CVE-2019-12262 og CVE-2019-12264) i et større utvalg av produkter.

En rekke eldre europeiske modeller kan være utsatt for dette problemet siden de benytter den berørte IPnet TCP/IP-stakken:

• i-SENSYS MF4270
• i-SENSYS MF4370dn
• i-SENSYS MF4380dn
• imageRUNNER 2318
• imageRUNNER 2318L
• imageRUNNER 2320
• imageRUNNER 2420
• imageRUNNER 2422

Takk for at du bruker Canon-produkter.

Et internasjonalt team med sikkerhetseksperter har rettet oppmerksomheten vår mot et sikkerhetsproblem knyttet til kommunikasjon via Picture Transfer Protocol (PTP), som brukes av Canons digitalkameraer, samt et sikkerhetsproblem knyttet til fastvareoppdateringer.

(CVE-ID:CVE-2019-5994, CVE-2019-5995, CVE-2019-5998, CVE-2019-5999, CVE-2019-6000, CVE-2019-6001）

På grunn av disse sikkerhetsproblemene er det fare for tredjepartsangrep på kameraet hvis kameraet er koblet til en PC eller mobilenhet som har blitt kapret gjennom et usikret nettverk.

På dette stadiet er det ingen bekreftede tilfeller på at disse sikkerhetsproblemene har blitt utnyttet til å forårsake skade, men for å sikre at kundene våre kan være trygge når de bruker produktene, vil vi informere deg om følgende løsninger på dette problemet.

• Kontroller at de sikkerhetsrelaterte innstillingene til enheter som er koblet til kameraet, er hensiktsmessig angitt, for eksempel PC-en, mobilenheten og ruteren som brukes.
• Ikke koble kameraet til en PC eller mobilenhet som brukes i et usikret nettverk, for eksempel i et gratis Wi-Fi-miljø.
• Ikke koble kameraet til en PC eller mobilenhet som kan være utsatt for virusinfeksjoner.
• Deaktiver kameraets nettverksfunksjoner når de ikke er i bruk.
• Last ned den offisielle fastvaren fra Canons nettsted når du utfører en fastvareoppdatering på kameraet.

Det er en økning i bruk av PC-er og andre mobilenheter i et usikret (gratis Wi-Fi) nettverksmiljø der kundene ikke er oppmerksomme på nettverkssikkerheten. Ettersom det har blitt normalt å overføre bilder fra et kamera til en mobilenhet via Wi-Fi-tilkobling, vil vi implementere fastvareoppdateringer for følgende modeller som er utstyrt med Wi-Fi-funksjon.

Disse sikkerhetsproblemene virker inn på følgende EOS-serie med speilreflekskameraer og speilløse kameraer:

EOS-1DC*1 *2	EOS 6D Mark II	EOS 760D	EOS M6 Mark II	PowerShot SX740 HS
EOS-1DX*1 *2	EOS 7D Mark II*1	EOS 800D	EOS M10
EOS-1DX MK II*1 *2	EOS 70D	EOS 1300D	EOS M50
EOS 5D Mark III*1	EOS 77D	EOS 2000D	EOS M100
EOS 5D Mark IV	EOS 80D	EOS 4000D	EOS R
EOS 5DS*1	EOS 200D	EOS M3	EOS RP
EOS 5DS R*1	EOS 250D	EOS M5	PowerShot G5X Mark II
EOS 6D	EOS 750D	EOS M6	PowerShot SX70 HS

^*1 Hvis en Wi-Fi-adapter eller trådløs filoverføring brukes, kan det opprettes en Wi-Fi-tilkobling.

^*2 Ethernet-tilkoblinger berøres også av disse sikkerhetsproblemene.

Informasjon om fastvareoppdateringer oppgis for hvert påfølgende produkt med fullførte forberedelser.

Her finner du instruksjoner for hvordan du installerer løsningen 

Vi er svært opptatt av å gi kundene våre trygge løsninger og beklager eventuelle ulemper dette har medført. Hvis du trenger mer informasjon om denne løsningen, kan du kontakte det lokale Canon-kontoret ditt, en autorisert forhandler eller en Canon-representant for kundestøtte. Hvis du oppdager mistenkelig aktivitet, må du rapportere dette umiddelbart til kontoadministratoren og IT-avdelingen din.

Forskere rapporterte nylig at det er funnet sikkerhetsproblemer i kommunikasjonsprotokollene i faksfunksjonene til enkelte produkter. (CVE-ID: CVE-2018-5924, CVE 2018-5925). Du finner informasjon om hvilke følger disse sikkerhetsproblemene har for Canon-produkter som er utstyrt med faksfunksjoner, nedenfor:

Følgende produkter er ifølge undersøkelsene våre ikke berørte, da de ikke bruker G3-fargefaksprotokollen som sikkerhetsproblemene utnytter: modeller i seriene imageRUNNER/iR, imageRUNNER ADVANCE, LASER CLASS, imagePRESS, FAXPHONE, GP og imageCLASS/i-SENSYS som er utstyrt med faksfunksjoner.

Produkter i MAXIFY- og PIXMA-seriene som er utstyrt med faksfunksjoner, bruker G3-fargefaksprotokollen. Vi har imidlertid ikke funnet noen fare for utføring av skadelig kode via fakskretsen eller fare for sikkerheten til informasjon som er lagret på disse enhetene.

Vi kommer til å fortsette å overvåke situasjonen og iverksette nødvendige tiltak for å bidra til å sikre enhetene våre.

Det ble nylig offentliggjort at det finnes sikkerhetsproblemer i enkelte prosessorer fra Intel, AMD og ARM som bruker spekulativ utførelse for å forbedre ytelsen. Dette gjør at en angriper kan skaffe seg uautorisert tilgang til områder med privat bufferminne.

To varianter av problemet, som bruker ulike teknikker for å utnytte de spekulative utførelsesfunksjonene i de berørte prosessorene, er identifisert og navngitt. De er kjent som CVE-2017-5715, CVE-2017-5753: «Spectre» og CVE-2017-5754: «Meltdown».

Følgende eksterne Canon-kontrollerprodukter kan være berørt av problemene. Selv om det for øyeblikket ikke finnes noen kjent måte å utnytte disse sikkerhetsproblemene på, utarbeides det for tiden mottiltak slik at kundene kan fortsette å bruke produktene våre uten bekymring.

ColorPASS: 
GX300 v2.0, GX300 v2.1, GX400 v1.0, GX500 v1.1

imagePASS: 
U1 v1.1, U1 v1.1.1, U2 v1.0 
Y1 v1.0, Y2 v1.0

imagePRESS-CR-server: 
A7000 v2.1, A7000 v3.0, A7300 v1.0, A7500 v2.1, A8000 v1.1

imagePRESS-server: 
A1200 v1.0, A1200 v1.1, A1300 v1.0, A2200 v1.0, A2200 v1.1, A2300 v1.0, A3200 v1.0, A3200 v1.1, A3300 v1.0 
B4000 v1.0, B4100 v1.0, B5000 v1.0, B5100 v1.0 
F200 v1.21, H300 v1.0 
J100 v1.21, J200 v1.21 
K100 v1.0, K200 v1.0 
Q2 v2.0, Z1 v1.0

Følgende Canon-tjeneste kan være berørt av sikkerhetsproblemene. Selv om det for øyeblikket ikke finnes noen kjent måte å utnytte disse sikkerhetsproblemene på, ble det iverksatt mottiltak før utgangen av februar 2018.

MDS Cloud

Ingen av Canons flerfunksjonelle fargelaserskrivere eller deres tilknyttede programvareprodukter, med unntak av de som er nevnt ovenfor, er berørt av disse problemene gjennom kjente utnyttelsesprosesser. Kundene kan trygt fortsette å bruke produktene våre.

Canon jobber kontinuerlig for å sørge for høyest mulig grad av sikkerhet i alle våre produkter og løsninger. Vi tar kundenes informasjonssikkerhet på alvor, og det er vår høyeste prioritet å verne om den.

En forsker offentliggjorde nylig et sikkerhetsproblem kalt KRACK i krypteringsprotokollen WPA2 for trådløst lokalt nettverk (Wi-Fi). Dette sikkerhetsproblemet gjør det mulig for en hacker å fange opp den trådløse overføringen mellom klienten (terminalen utstyrt med Wi-Fi-funksjon) og tilgangspunktet (ruteren e.l.) for å utføre potensielt skadelig aktivitet. Dette sikkerhetsproblemet kan av den grunn ikke utnyttes av andre utenfor rekkevidden til Wi-Fi-signalet, eller av andre på en ekstern plassering som bruker Internett som mellomledd. 

Vi har ennå ikke fått bekreftet at brukere av Canon-produkter er rammet som følge av dette sikkerhetsproblemet. For at kundene våre skal kunne fortsette å bruke produktene sine uten bekymringer, anbefaler vi imidlertid følgende forebyggende tiltak: 
• Koble kompatible enheter direkte til et nettverk ved hjelp av en USB- eller Ethernet-kabel 
• Krypter dataoverføring fra enheter som har krypteringsinnstillinger (TLS/IPSec) 
• Bruk fysiske medier, for eksempel SD-kort, med kompatible enheter 
• Bruk innstillinger, for eksempel direkte trådløs tilkobling og direkte tilkobling, med kompatible enheter

Siden fremgangsmåtene og funksjonene varierer fra enhet til enhet, kan du finne mer informasjon i enhetens håndbok. Vi anbefaler også at du tar nødvendige tiltak for alle enhetene dine, for eksempel en PC eller smarttelefon. Hvis du vil ha informasjon om nødvendige tiltak for hver enkelt enhet, kan du ta kontakt med enhetens produsent.

Vi kjenner til nyhetsartikler om forskning fra University of Alliance Ruhr om et potensielt sikkerhetsproblem for nettverksskrivere via PostScript-programmeringsspråket som er mye brukt i bransjen. Ingen Canon-enheter ble testet i forbindelse med dette forskningsprosjektet.

Canon jobber hele tiden med å sikre høyeste grad av sikkerhet i alle produktene og løsningene våre, inkludert nettverksskrivere. Vi tar kundenes informasjonssikkerhet på alvor, og det er vår høyeste prioritet å verne om den. Sikkerhetsveiledningen vår for flerfunksjonsenheter forklarer og anbefaler de beste konfigurasjonsinnstillingene for sikker implementering.

Du finner informasjon nedenfor om sikkerhetstiltak for spesifikke Canon-produkter med tilhørende konfigurasjonsprosedyrer. Denne informasjonen er kun tilgjengelig på engelsk.

Blekkskrivere (PIXMA-serien) og profesjonelle blekkskrivere (MAXIFY-serien) – 530 kB	Fiery-kontrollere (imagePRESS Server, ColorPASS, imagePASS) – 1,2 MB	Storformatblekkskrivere (imagePROGRAF-serien) – 1,15 MB	Laserskrivere og multifunksjonsprodukter for små kontorer (LBP- og MF-seriene) – 1,01 MB
Flerfunksjonsskrivere for kontor- og produksjonsutskrift (imageRUNNER-, imageRUNNER ADVANCE-, imagePRESS-serien) – 754 kB	Nettverkskameraer – 2,6 MB	Sikkerhetsveiledning for multifunksjonsenheter – 2,03MB	Nettverksskannere (imageFORMULA-serien) – 602 kB
Canon imageRUNNER Security Matrix – 545 KB	Sikkerhetsoversikt over Canon-enheter – 1,98 MB	Sikkerhetshåndbok for imageRUNNER ADVANCE og imageRUNNER ADVANCE DX – 4,49 MB	SIEM_spec (imageRUNNER ADVANCE) – 84 KB
Hvitbok for ColorWave- og PlotWave SMARTshield-sikkerhet – 1,01 MB

Canon er svært opptatt av informasjonssikkerhet med mål om å ivareta konfidensialitet, integritet, og tilgjengelighet for alle typer opplysninger:

• konfidensialitet – vi sikrer at informasjon kun er tilgjengelig for autoriserte brukere
• integritet – vi ivaretar nøyaktige og komplette data og behandlingsmetoder
• tilgjengelighet – vi sikrer at autoriserte brukere har tilgang til nødvendig informasjon

ISO 27001-sertifiseringen viser at Canon Europe har systemer på plass som beskytter bedriftsinformasjon, både på nett og ellers. Canon kan med ISO 27001-sertifiseringen bekrefte at sikkerhetsprosessene fra utvikling til levering har blitt evaluert eksternt, og at de har blitt sertifisert av tredjeparter etter en internasjonalt anerkjent standard.

	Canon Europe er ISO 27001-sertifisert for styringssystemet for informasjonssikkerhet, noe som forsikrer kundene våre om at vi følger en internasjonalt anerkjent standard. Denne sertifiseringen dekker alle aspekter ved informasjonssikkerhet fra behandling av risiko og kontroll til produktsikkerhet og behandling av sikkerhetshendelser.

Vårt ISMS (Information Security Management System) dekker følgende områder:

• sikkerhetsretningslinjer
• organisasjon av informasjonssikkerhet
• ressursstyring
• HR-sikkerhet
• fysisk sikkerhet og miljøsikkerhet
• kommunikasjons- og driftsadministrasjon
• tilgangskontroll
• anskaffelse, utvikling og vedlikehold av informasjonssystemer
• behandling av sikkerhetshendelser
• administrasjon av forretningskontinuitet
• samsvar med lover og regler

Canon EMEA PSIRT (Product Security Incident Response Team) er en del av den globale Canon PSIRT-organisasjonen som er ansvarlig for respons på sårbarheter knyttet til produkter, systemer og tjenester fra Canon EMEA. Vi følger bransjens bestepraksis for å forbedre produktsikkerheten og gi kundene våre svært sikre produkter.

Canon EMEA PSIRT setter pris på informasjon som er relatert til alle mistenkte produktsikkerhetsproblemer, og håndterer informasjonen i tråd med retningslinjene for varsling om sårbarheter.

Hvis du mener at du har oppdaget et sikkerhetsproblem knyttet til et Canon-produkt eller hvis du vil rapportere en hendelse, kan du kontakte Canon EMEA Product Security Incident Response Team på e-post til product-security@canon-europe.comeller via rapportskjemaet vårt for produktsårbarhet. Legg ved en detaljert beskrivelse av sikkerhetsproblemer, det nøyaktige navnet på produktet, programvareversjonen og hva problemet går ut på. Legg også ved en e-postadresse og et telefonnummer vi kan bruke til å kontakte deg hvis vi trenger mer informasjon.

Merk at denne e-postadressen og dette skjemaet bare skal brukes til å rapportere sikkerhetsproblemer og sårbarheter. Den skal ikke brukes til generelle støtteforespørsler. Gå til støttesidene våre hvis du trenger hjelp med andre produktproblemer.

Canons EMEA Information Security Team jobber hardt for å beskytte våre kunder og ansatte. Som en del av denne forpliktelsen ønsker vi at brukere rapporterer sikkerhetsproblemer og sårbarheter så fort de er oppdaget. Du kan rapportere detaljene for dine funn til: appsec@canon-europe.com

Domener som omfattes

Dette er listen over domener som er inkludert i Canon Vulnerability Disclosure Policy.

*.canon-europe.com	*.canon.nl
*.canon.co.uk	*.canon.com.tr
*.canon.com.de	*.canon.com.sa
*.canon.com.ae	*.canon.com.jp
*.canon.com.ca	*.canon.no
*.canon.es	*.canon.se
*.canon.pl	*.canon.be
*.canon.pt	*.canon.it
*.canon.dk	*.canon.ch
*.canon.fi	*.canon.at
*.canon.fr	*.canon.ie
*.uaestore.canon.me.com

Du kan rapportere sårbarheter og sikkerhetsproblemer til oss via e-post: appsec@canon-europe.com. Oppgi hva du har funnet, så tydelig og detaljert som mulig, og oppgi eventuell dokumentasjon og bevis du måtte ha. Husk at meldingen vil bli gjennomgått av Canons sikkerhetsspesialister. Få med følgende i e-posten:

• Type sikkerhetsproblem
• Trinnvise instruksjoner for hvordan du gjenskaper sårbarheten
• Hva det er du har gjortHva det er du har gjort
• Hele URL-adressen
• Objekter (som filtre eller skrivefelt) som kan være involvert
• Vi setter stor pris på skjermbilder
• Angi IP-adressen din i svakhetsrapporten. Dette vil bli hold konfidensielt og vil kun brukes for å spore testaktivitetene dine og gå gjennom loggene fra vår side

Vi ønsker ikke informasjon fra automatiserte testverktøy.

Hva som ikke blir akseptert:

• Volumetriske / tjenestenektsikkerhetsproblemer (dvs. ganske enkelt å overvelde tjenesten med et høyt antall forespørsler)
• Svakheter i TLS-konfigurasjon (f.eks. svak støtte for krypteringssuite, støtte for TLS1.0, sweet32 osv.)
• Problemer som angår verifisering av e-postadresser som brukes til å opprette brukerkontoer relatert til myid.canon
• Selv-XSS
• Skript med blandet innhold på www.canon.*
• Usikre informasjonskapsler på www.canon.*
• CSRF- og CRLF-angrep der den resulterende påvirkningen er minimal
• HTTP-vertshode XSS uten fungerende bevis-på-konsept
• Ufullstendig/manglende SPF/DMARC/DKIM
• Angrep fra sosiale medier
• Sikkerhetsfeil på tredjeparts nettsteder som integreres med Canon
• Teknikker for nummerering av nettverksdata (f.eks. bannerplukking, at det finnes offentlig tilgjengelige serverdiagnostikksider)
• Rapporter som indikerer at tjenestene våre ikke er helt i tråd med «beste praksis»

Canons eksperter på informasjonssikkerhet undersøker rapporten din og kontakter deg innen fem virkedager. 

Personvernet ditt

Vi vil kun bruke de personlige opplysningene du oppgir til å iverksette tiltak basert på rapporten din. Vi vil ikke dele dine personlige opplysninger med andre uten ditt samtykke.

Potensielt ulovlige handlinger

Hvis du oppdager en svakhet og undersøker den, kan det hende at du utfører handlinger som er straffbare i henhold til loven. Hvis du følger reglene og prinsippene nedenfor for rapportering av svakheter i IT-systemene våre, vil vi ikke rapportere lovbruddet til myndighetene og vil ikke fremme et krav.

Det er imidlertid viktig at du vet at det offentlige aktorembetet – ikke CANON – kan avgjøre om du vil bli rettsforfulgt, selv om vi ikke har rapportert lovbruddet ditt til myndighetene. Det betyr at vi ikke kan garantere at du ikke vil bli rettsforfulgt hvis du begår en straffbar handling når du etterforsker en svakhet.

National Cyber Security Centre of the Ministry of Security and Justice har opprettet retningslinjer for rapportering av svakheter i IT-systemer. Våre regler er basert på disse retningslinjene. (https://english.ncsc.nl/)

Generelle prinsipper

Ta ansvar og opptre med ekstrem forsiktighet. Når du undersøker saken må du kun bruke metoder eller teknikker som er nødvendige for å finne eller demonstrere svakhetene.

• Ikke bruk svakheter du oppdager til andre formål enn din egen undersøkelse.
• Ikke bruk manipulasjon for å få tilgang til et system.
• Ikke installer noen bakdører, selv ikke for å demonstrere sikkerhetsproblemet i et system. Bakdører vil svekke systemets sikkerhet.Bakdører vil svekke systemets sikkerhet.
• Du må ikke slette eller endre informasjon du finner i systemet. Hvis du trenger å kopiere informasjon til rapporten, må du aldri kopiere mer enn du trenger. Hvis én post er tilstrekkelig, må du ikke gå lenger.
• kke endre systemet på noen slags måte.
• Infiltrer bare et system hvis det er absolutt nødvendig. Hvis du klarer å infiltrere et system må du ikke dele tilgang med andre.
• Ikke bruk «bruteforce»-teknikker, for eksempel å legge inn et passord flere ganger for å få tilgang til systemer.
• Ikke bruk DoS-type angrep (Denial of Service) for å få tilgang

Vil jeg motta en belønning for min undersøkelse?

Nei, du har ikke rett til noen kompensasjon.

Har jeg lov til å offentliggjøre svakhetene jeg finner og undersøkelsene mine?

Du må aldri offentliggjøre svakheter i Canon IT-systemer eller undersøkelser uten å rådføre deg med oss først via e-post: appsec@canon-europe.com. Vi kan samarbeide for å hindre at kriminelle misbruker informasjonen din. Ta kontakt med teamet vårt Information Security team slik at vi kan samarbeide om publisering av sikkerhetsbrudd og evt. Funn.

Kan jeg rapportere en svakhet anonymt?

Ja, det kan du. Du trenger ikke å oppgi navn og kontaktinformasjon når du rapporterer en svakhet. Vær imidlertid klar over at vi ikke kan snakke med deg om oppfølgingstiltak, for eksempel hva vi gjør med rapporten din eller videre samarbeid.

Hva skal jeg ikke bruke denne e-postadressen til?

E-posten: appsec@canon-europe.com er ikke ment for følgende:

• For å sende inn klager om Canon-produkter eller -tjenester
• For å sende inn spørsmål eller klager om tilgjengeligheten til Canons nettsteder.
• For å rapportere svindel eller mistanke om svindel
• For å rapportere falske e-postmeldinger eller phishing-e-postmeldinger
• For å rapportere virus