Ejecución de código arbitrario en Xerox WorkCentre

Se ha anunciado una vulnerabilidad en diversos productos de la gama Xerox WorkCentre, por la que un atacante remoto podrá podría ejecutar código arbitrario en los sistemas atacados.

El problema reside en la posibilidad de inyectar comandos en el servidor web de los productos afectados, esto podría permitir la ejecución remota de código arbitrario mediante peticiones especialmente construidas en la página web afectada.

Se ven afectados los productos WorkCentre 232, 238, 245, 255, 265, 275, 5632, 5638, 5645 , 5655, 5665, 5675, 5687, 7655, 7665, 7675 y los WorkCentre Pro 232, 238, 245, 255, 265 y 275.

Xerox ha publicado una actualización disponible en:
http://www.xerox.com/downloads/usa/en/c/cert_P38v1_WCP275_WC7675_WC5687_Patch.zip

Laboratorio Hispasec
laboratorio@hispasec.com

Más información:

Xerox Security Bulletin XRX09-002
Software update to address Command Injection Vulnerability
http://www.xerox.com/downloads/usa/en/c/cert_XRX09-02_v1.0.pdf