Szanowni Państwo,

Głęboko doceniamy Twój stały patronat nad produktami Develop.

Luka w zabezpieczeniach Pass-Back Attack została na nowo zidentyfikowana we wskazanych poniżej modelach.

Niniejszy poradnik zawiera ogólne informacje na temat tego problemu oraz zalecanych środków zaradczych.

Należy pamiętać, że w momencie publikacji (30 czerwca 2025 r.) na całym świecie nie było żadnych potwierdzonych incydentów bezpieczeństwa wynikających z wykorzystania tej luki.

Overview of the vulnerability

Nr kat. ID	CVSSv3.1 (Rapid7)	Wynik podstawowy	Opis luki w zabezpieczeniach
CVE-2025-6081	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	6.8	Uwierzytelniona osoba atakująca może ujawnić hasło użytkownika skonfigurowana usługa zewnętrzna.

Modele, których dotyczy problem

Nazwa produktu	Wersja, której dotyczy problem
ineo+ 751i ineo+ 651i/+551i/+451i ineo+ 361i/+301i/+251i ineo+ 4051i/+3351i/+4001i/+3301i ineo+ 3321i ineo 751i ineo 651i/551i/451i ineo 361i/301i ineo 4751i/4051i ineo 4701i ineo+ 750i ineo+ 650i/+550i/+450i ineo+ 360i/+300i/+250i ineo+ 287i/+257i/+227i ineo+ 4050i/+3350i/+4000i/+3300i ineo+ 3320i ineo 950i/850i ineo 750i ineo 650i/550i/450i ineo 360i/300i ineo 306i/266i/246i/226i ineo 4750i/4050i ineo 4700i	Wszystkie wersje
ineo+ 759/+659 ineo+ 658/+558/+458 ineo+ 368/+308/+258 ineo+ 287/+227 ineo+ 3851/+3851FS/+3351 ineo 958/808/758 ineo 658e/558e/458e ineo 368e/308e ineo 558/458/368/308 ineo 367/287/227 ineo 4752/4052	Wszystkie wersje

Nazwa produktu

Wersja, której dotyczy problem

ineo+ 751i
ineo+ 651i/+551i/+451i
ineo+ 361i/+301i/+251i
ineo+ 4051i/+3351i/+4001i/+3301i
ineo+ 3321i
ineo 751i
ineo 651i/551i/451i
ineo 361i/301i
ineo 4751i/4051i
ineo 4701i
ineo+ 750i
ineo+ 650i/+550i/+450i
ineo+ 360i/+300i/+250i
ineo+ 287i/+257i/+227i
ineo+ 4050i/+3350i/+4000i/+3300i
ineo+ 3320i
ineo 950i/850i
ineo 750i
ineo 650i/550i/450i
ineo 360i/300i
ineo 306i/266i/246i/226i
ineo 4750i/4050i
ineo 4700i

Wszystkie wersje

ineo+ 759/+659
ineo+ 658/+558/+458
ineo+ 368/+308/+258
ineo+ 287/+227
ineo+ 3851/+3851FS/+3351
ineo 958/808/758
ineo 658e/558e/458e
ineo 368e/308e
ineo 558/458/368/308
ineo 367/287/227
ineo 4752/4052

Wszystkie wersje

Wpływ na drukarki wielofunkcyjne

Istnieje możliwość, że poświadczenia uwierzytelniania skonfigurowane dla usług zewnętrznych, takich jak LDAP, SMTP, FTP, SMB lub WebDAV, mogą zostać ujawnione za pomocą złośliwego połączenia z serwerem.

Zalecenie dotyczące luk w zabezpieczeniach

Upewnij się, że hasło administratora jest bezpieczne. Jeśli pozostanie ustawiony na domyślne ustawienia fabryczne, natychmiast zmień je na silne złożone hasło.
Ogranicz możliwość wprowadzania zmian w miejscu docelowym książki adresowej przez użytkowników niebędących administratorami.
W przypadku korzystania z dowolnej usługi zewnętrznej należy unikać rejestrowania kont z podwyższonymi uprawnieniami, takich jak te używane w systemach takich jak Active Directory, na drukarkach wielofunkcyjnych.

Ogólne zalecenia dotyczące zabezpieczeń

Aby zapewnić bezpieczeństwo działania urządzeń wielofunkcyjnych i zmniejszyć narażenie na luki w zabezpieczeniach opisane w niniejszym poradniku, firma Develop zdecydowanie zaleca stosowanie następujących sprawdzonych metod konfiguracji:

Unikaj bezpośredniego kontaktu z Internetem
Umieść urządzenia za zaporami sieciowymi i użyj ustawień prywatnego adresowania IP i filtrowania adresów IP urządzeń.
Zmień domyślne hasła
Zmień domyślne poświadczenia i zaimplementuj silne hasła do funkcji administracyjnych i sieciowych.
Używaj silnych haseł do usług
Upewnij się, że skonfigurowano silne poświadczenia dla protokołów SMTP, LDAP, SMB, WebDAV i innych zintegrowanych usług.
Wyłącz nieużywane usługi
Wyłącz nieużywane porty lub protokoły, aby zmniejszyć obszar ataku.
Korzystaj z bezpiecznych protokołów
Skonfiguruj urządzenia do korzystania z szyfrowanej komunikacji (np. HTTPS, LDAPS, IPPS), jeśli jest to obsługiwane.
Monitoruj aktywność urządzenia
Regularnie przeglądaj dzienniki urządzeń i ruch sieciowy pod kątem podejrzanych zachowań.
Włącz uwierzytelnianie, jeśli jest dostępne
Korzystaj z wbudowanych funkcji uwierzytelniania użytkowników, aby zapobiec nieautoryzowanemu dostępowi do funkcji urządzenia.

Aby uzyskać wyczerpujące informacje na temat bezpiecznej konfiguracji, zapoznaj się z naszą witryną internetową poświęconą bezpieczeństwu produktów.
https://www.konicaminolta.com/global-en/security/mfp/setting/index.html

Zwiększanie bezpieczeństwa produktów i usług

Firma develop uważa bezpieczeństwo swoich produktów i usług za ważną odpowiedzialność i będzie nadal aktywnie reagować na incydenty i luki w zabezpieczeniach.
https://www.konicaminolta.com/about/csr/social/customers/enhanced_security.html

Potwierdzenia

Chcielibyśmy wyrazić nasze szczere uznanie dla pana Derala Heilanda z firmy Rapid7 i badacza bezpieczeństwa, pana Vladislava Volozhenko za odkrycie i odpowiedzialne zgłoszenie tej luki.

Kontakt

Jeśli potrzebujesz dalszych wyjaśnień lub pomocy we wdrożeniu zalecanych środków lub zastosowaniu odpowiedniej aktualizacji oprogramowania układowego, skontaktuj się z autoryzowanym przedstawicielem serwisu Develop.