关键信息 1. 受影响的产品: - 多功能打印机（MFPs）由Sharp和Toshiba Tec Corporation提供，包含多个漏洞。 2. 漏洞描述: - Out-of-bounds Read (CWE-125): - CVSS评分: 7.5 - 描述: 来自不正确的处理关键字搜索输入和SOAP消息的越界读取漏洞。 - Out-of-bounds Read (CWE-125): - CVSS评分: 7.5 - 描述: 来自不正确的处理HTTP请求头的越界读取漏洞。 - Out-of-bounds Read (CWE-125): - CVSS评分: 4.9 - 描述: 来自不正确的处理HTTP请求中数据下载的越界读取漏洞。 - Path traversal (CWE-22): - CVSS评分: 5.3 - 描述: 来自HTTP PUT请求中URI数据的不正确处理导致的路径遍历漏洞。 - Improper access restriction on some configuration related APIs (CWE-749): - CVSS评分: 8.1 - 描述: 一些与配置相关的API未正确限制访问。 - Authentication Bypass Using an Alternate Path (CWE-288): - CVSS评分: 9.1 - 描述: 来自HTTP认证请求的不正确处理导致的认证绕过漏洞。 - Improper processing of query parameters in HTTP requests (CWE-644): - CVSS评分: 7.4 - 描述: 来自HTTP请求中查询参数的不正确处理导致的漏洞。 - Reflected Cross-site Scripting (CWE-79): - CVSS评分: 7.4 - 描述: 来自HTTP请求中查询参数的不正确处理导致的反射型跨站脚本漏洞。 - Stored Cross-site Scripting (CWE-79): - CVSS评分: 6.2 - 描述: 来自URI数据注册中输入数据验证的不正确处理导致的存储型跨站脚本漏洞。 3. 影响: - 构造的HTTP请求可能导致受影响的产品崩溃。 - 内部文件可能在处理构造的HTTP请求时被检索。 - 非管理员用户可能执行一些配置API。 - 认证可能被绕过。 - 访问指向受影响产品的构造URL可能导致恶意脚本在Web浏览器中执行。 - 如果构造的输入由管理员用户存储，恶意脚本可能在其他受害者的Web浏览器中执行。 4. 解决方案: - 更新固件: 根据供应商提供的信息应用适当的固件更新。 - 应用工作绕过: - 将受影响的MFPs置于受防火墙保护的网络内。 - 设置管理员密码（初始密码在出厂默认配置中设置，参见产品的手册）。 - 更改初始配置的管理员密码，并妥善管理。 5. 供应商状态: - Sharp Corporation: 漏洞状态: 易受攻击 - Toshiba Tec Corporation: 漏洞状态: 易受攻击 6. 参考: - JPCERT/CC Addendum - 漏洞分析由JPCERT/CC进行 - 信用: Sharp Corporation向JPCERT/CC报告了这些漏洞，通过JVN通知用户其解决方案。 7. 其他信息: - JPCERT Alert - JPCERT Reports - CERT Advisory - CPNI Advisory - TRnotes - CVE - JVN iPedia 8. 更新历史: - 2024/10/25: Sharp Corporation更新状态 总结 该页面提供了关于Sharp和Toshiba Tec MFPs的多个漏洞的详细信息，包括漏洞的类型、影响、解决方案和供应商状态。这些信息对于识别和修复受影响的设备至关重要。