Xerox-sikkerhedsbulletin XRX08-004

Transkript

1 Softwareopdatering til løsning af problem med 'cross site scripting' Baggrund Der er registreret et problem med 'cross site scripting' i webserveren i nedenstående produkter. Hvis problemet ikke løses, kan uautoriserede brugere foretage 'code injection' på websider, som ses af andre brugere. Kunde- og brugerkodeord er ikke i fare. Dette problem blev rapporteret til os privat af Louhi Networks i Finland. Bortset fra udnyttelseskoden for 'proof-of-concept', som leveres af sikkerhedsforskerne, har Xerox ikke registreret udnyttelseskoder andre steder. Som en del af vore bestræbelser på at beskytte vore kunder, findes der eksekverbare 1 eller binære filer, som indeholder softwareversioner for netværkscontroller til løsning af dette problem i nedenstående produkter. Disse løsninger skal installeres af kunden. Følg fremgangsmåderne herunder for at installere disse løsninger, så du kan beskytte din maskine mod eventuelle angreb via netværket. Softwareløsninger er komprimeret i en af seks eksekverbare filer afhængig af det ønskede produkt og findes via de links, der er vist herunder eller ved at gå til WorkCentre 7132 Standard Executable -- WorkCentre 7132 Standard Binary -- WorkCentre 7132 med Postscript-eksekverbar -- WorkCentre 7132 med Postscript-binær -- WorkCentre 7228/7235/7245 eksekverbar -- WorkCentre 7228/7235/7245 binær -- Disse løsninger er klassificerede som en Critical-patch. Anerkendelser Xerox takker Henri Lindberg, Louhi Networks, Finland ( for at gøre os opmærksom på dette problem. Denne software er beregnet til netværksopkoblede versioner 2 for følgende produkter: WorkCentre Firmware Update Tool for Windows er et værktøj til opdatering af firmware, som leveres sammen med den softwareversion, der aktiverer kundeinstallation af softwareversionen 2 Hvis produktet ikke er tilsluttet netværket, er det ikke sårbart, og du behøver derfor ikke at foretage yderligere. 701P af 6

2 Løsning Installation af patch Redigeret: 19/05/08 Installationsinstruktioner Patchfilnavn for WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip (selvudpakkende, eksekverbar fil) cert_p35_wc7228_7235_7245_bin.zip (binær fil, som skal anvendes sammen med Centreware-web) Patchfilnavn for WC 7132: cert_p35_wc7132-std_exec.zip (standardversion af selvudpakkende, eksekverbar fil) cert_p35_wc7132-std_bin.zip (standardversion af binær fil, som skal anvendes sammen med Centreware-web) cert_p35_wc7132-ps_exec.zip (PostScript-version af selvudpakkende, eksekverbar fil) cert_p35_wc7132-ps_bin.zip (PostScript-version af binær fil, som skal anvendes sammen med Centreware-web) For WC 7132 PS-version skal du anvende cert_p35_wc7132-ps_exec.zip eller cert_p35_wc7132-ps_bin.zip For WC 7132 STD-version skal du anvende cert_p35_wc7132-std_exec.zip eller cert_p35_wc7132-std_bin.zip Hvis din softwareversion er Er du klar til at installere Næste trin: Derefter: Controller ROM vil nu vise: Controller ROM patchen? til Ja Indlæs patch (se Bemærk 1 og 2 for WC 7132) Bemærk 1 for WC 7132: For WC 7132 skal du først afgøre hvilken fil, der skal indlæses. WC 7132 kan konfigureres som en PostScript- eller en standardversion. Se Tillæg A for flere oplysninger. Bemærk 2 for WC 7132: cert_p35_wc7132-std_exec.zip og cert_p35_wc7132-ps_exec.zip er selvudpakkende, eksekverbare filer. Hver eksekverbar fil anvender Firmware Update Tool, som beskrevet i Tillæg B. Installation fra CentreWare-web er ikke mulig for dette produkt. Hvis der anvendes CentreWare-web, kan.exe ikke anvendes. Anvend i stedet cert_p35_wc7132-std_bin.zip eller cert_p35_wc7132-ps_bin.zip. For WC 7228/7235/7245 skal du anvende WC7228_7235_7245_EXEC.zip eller cert_p35_wc7228_7235_7245_bin.zip (se Bemærk 1 for WC 7228/7235/7245) Hvis din softwareversion er Er du klar til at installere Næste trin: Derefter: Controller ROM vil nu vise: Controller ROM patchen? til Ja Indlæs patch (se Bemærk 1 for WC 7228/7235/ 7245) Bemærk 1 for WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip er en selvudpakkende, eksekverbar fil, der anvender Firmware Update Tool, som beskrevet i Tillæg B. Hvis der anvendes CentreWare-web, kan.exe ikke anvendes. Anvend i stedet cert_p35_wc7228_7235_7245_bin.zip. 701P af 6

3 Installer patchen Indlæs patchen. Den er pakket i en ZIP-fil. Indlæs ZIP-filen fra den anførte URL, og pak hele indholdet ud på dit skrivebord. Prøv ikke på at åbne filen med filbetegnelsen.dlm. Dette er patchen, som skal indlæses på multifunktionsmaskinen, sådan som den er. Metoder til installation af patch Denne patch og opgradering (ligesom det meste software) bør installeres af kunden. Dette kan gøres på forskellige måder. - Anvend den selvudpakkende, eksekverbare fil, som bruger Firmware Update Tool (værktøj til opdatering af firmware). Se Tillæg B. - Brug XDM/CenterWare Web til at sende opgraderings-/patchfiler til flere maskiner. Der findes flere oplysninger om ovenstående metoder i "How to Upgrade, Patch or Clone Xerox Multifunction Devices" ( Tillæg A Sådan afgør du, om din WC 7132 er konfigureret som PostScript or standard (STD): Det er vigtigt, at du indlæser den korrekte opgraderingsfil for din maskine. Afgør hvilken softwareversion, du aktuelt anvender på følgende måde: 1. Åbn din webbrowser og indtast og maskinens TCP/IP-adresse i feltet Adresse eller Placering. Tryk dernæst på [Accept]. 2. Klik på fanen [Egenskaber]. 3. Klik på [Konfiguration]. 4. Rul ned til afsnittet Software for at finde din controller version. Noter, om Controller ROM vises som Controller ROM eller Controller+PS ROM. Dette vil afgøre hvilken fil, der indlæses fra Xerox.com. Controller ROM angiver, at STD-filen skal indlæses. Controller+PS ROM kræver, at PS-filen indlæses. Tillæg B Anvendelse af Firmware Update Tool (selvudpakkende fil.exe): 1. Firmware Update Tool understøttes kun af Windows-operativsystemer. Ring til Xerox Service, hvis du ikke anvender et Windows-operativsystem, så en servicetekniker kan indlæse patchen for dig. 2. Firmware Update Tool anvender Port Kontroller derfor, at Port 9100 er aktiveret på maskinen. Dette gøres på følgende måde: a. Åbn din webbrowser og indtast og maskinens TCP/IP-adresse i feltet Adresse eller Placering. Tryk på [Accept]. b. Klik på fanen [Egenskaber]. c. Klik på [Portstatus]. d. Kontroller, at afkrydsningsfeltet for Port 9100 er markeret (aktiveret). Hvis den ikke allerede er markeret, skal du gøre det nu. Tryk derefter på [Anvend] nederst på siden. 3. Kontroller, at maskinen ikke er i brug, før du fortsætter opgraderingen. Dette inkluderer alle aktive opgaver og opgaver, som programmeres på betjeningspanelet. 4. Dobbeltklik på.exe-filnavnet. Nedenstående skærmbillede vises. Når du har læst licensaftalen, skal du trykke på [Agree] for at fortsætte installationen. Hvis du opgraderer en WC 7132-model, skal du kontrollere, at den korrekte fil er valgt (PS eller STD) ved at følge instruktionerne i Tillæg A. 701P af 6

4 5. I næste skærmbillede skal du vælge den korrekte printermodel i rullelisten. WC 7228/7235/7245 giver følgende valgmuligheder: WorkCentre 7228, WorkCentre 7235 eller WorkCentre Kontroller, at du har valgt den korrekte model. WC 7132 giver følgende valgmulighed: WorkCentre Kontroller, at der er valgt Network (Port9100) og tryk på [Next]. 701P af 6

5 7. Vælg IPAddress Input og indtast maskinens TCP/IP-adresse. Tryk på [Next]. Hvis du vælger en forkert printermodel i punkt 5 ovenfor, kan du ikke fortsætte, når du trykker på {Next}. 8. Patchen indlæses fortsat på maskinen. Det tager ca minutter. 701P af 6

6 9. Tryk ikke på Firmware Update Tool-knapper, indtil skærmbilledet Firmware Update Result is Displayed Below vises. Kontroller opgraderingsstatus ved at rulle til højre, hvor du kan se, om maskinen blev opgraderet uden problemer. Hvis opgraderingen er afsluttet, skal du trykke på [Finish] for at lukke værktøjet. Hvis opgraderingen mislykkedes, skal du kontrollere, at den korrekte fil var valgt, at maskinen ikke var i brug på opgraderingstidspunktet og at netværket fungerer som normalt. Hvis du har kontrolleret ovenstående faktorer og der stadig er problemer med opgraderingen, skal du kontakte dit lokale kundeservicecenter. Ansvarsfraskrivelse Oplysningerne i nærværende Xerox Produktrespons stilles til rådighed "som de er" uden garanti af nogen art. Xerox Corporation fraskriver sig ethvert ansvar, det være sig både udtrykkeligt eller stiltiende, herunder ansvar for salgsbarhed og egnethed til et bestemt formål. Under ingen omstændigheder kan Xerox Corporation holdes ansvarlig for skader, som skyldes brugerens anvendelse eller tilsidesættelse af oplysningerne i nærværende Xerox Produktrespons, herunder direkte, indirekte eller hændelige skader, følgeskader, tabt forretningsindtægt eller specielle skader, selvom Xerox Corporation er blevet informeret om muligheden for sådanne skader. Visse lande tillader ikke ekskludering eller begrænsning af ansvar af følgeskader, så ovenstående begrænsning er muligvis ikke gældende. 701P af 6