Produktu drošība

Multiple vulnerabilities have been identified in the EOS Network Setting Tool, which is included in the EOS Utility installer. If these vulnerabilities are exploited, authentication information used in the FTP/FTPS/SFTP communication test function could be obtained by a third party. 

There have been no reports of these vulnerabilities being exploited. However, to enhance the security of the product, we advise that our customers install the latest EOS Network Setting Tool, which is included in EOS Utility, available for the affected models provided below. 

We will continue to further strengthen our security measures to ensure that you can continue using Canon products with peace of mind. If these vulnerabilities are identified in other products, we will update this article. 

Please note the affected software is EOS Network Setting Tool Version 1.5.0 or earlier (for Windows and macOS), which is included in EOS Utility Versions 3.12.0 to 3.20.20 (inclusive). 

EOS Utility, which includes the EOS Network Setting Tool addressing these issues, is available on the support websites. We advise that our customers install the latest EOS Utility and confirm that the following software version is installed: EOS Network Setting Tool Version 1.5.1 or later (for Windows and macOS), which is included in EOS Utility Version 3.20.21 or later. 

CVE/CVSS 

CVE-2026-9258: Improper validation of SSH host keys in the EOS Network Setting Tool. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N Base Score: 7.1. 

CVE-2026-9259: Improper validation of server certificates in the EOS Network Setting Tool. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N Base Score: 7.1. 

CVE-2026-9260: Use of hard-coded cryptographic keys in the EOS Network Setting Tool. CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N Base Score: 6.9. 

CVE-2026-9261: Use of weak SSH cryptographic algorithms in the EOS Network Setting Tool. CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N Base Score: 7.6. 

CVE-2026-9262: Use of a non-secure protocol as the default FTP configuration in the EOS Network Setting Tool. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N Base Score: 7.1. 

Canon would like to thank the following researcher for identifying these vulnerabilities:

• CVE-2026-9258, CVE-2026-9259, CVE-2026-9260, CVE-2026-926, and CVE-2026-9261: Ryan Hausknecht (@haus3c)

A vulnerability involving improper validation of symbolic links has been identified in the installers of My Image Garden for macOS and the CUPS Printer Driver for macOS. If exploited during installation of the affected software, a third party with local access to and login privileges on the PC may use a specially crafted symbolic link to modify the permissions of files or directories for which they would not normally have authorisation.

There have been no reports of this vulnerability being exploited. However, to enhance the security of the product, we advise that our customers install the latest version available for the affected models provided below.

The latest version designed to address this issue for certain products are made available on our websites. Please check the affected models and visit Support for firmware, software, and product support information.

We will continue to further strengthen our security measures to ensure that you can continue using Canon products with peace of mind. If the vulnerability is identified in other products, we will update this article.

CVE/CVSS

CVE-2026-6891: Improper handling of symbolic links in the installer of My Image Garden for macOS. CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N Base Score: 5.1.

CVE-2026-6892: Improper handling of symbolic links in the installer of the CUPS Printer Driver for macOS. CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N Base Score: 5.1.

Canon would like to thank the following researchers for identifying this vulnerability:

• CVE-2026-6891 and CVE-2026-6892: Jie Wan

Update History

28 May 2026: Created.

Dažiem ražošanas printeriem un biroju/mazu biroju daudzfunkciju printeriem ir konstatēta ievainojamība. Šī ievainojamība var ļaut trešai personai ar administratora tiesībām piekļūt sensitīvai informācijai produktā, nosūtot īpaši izveidotus pieprasījumus, izmantojot pārlūkprogrammā balstītu attālās pārvaldības funkciju.

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Tomēr, lai uzlabotu produkta drošību, iesakām klientiem instalēt jaunāko pieejamo programmaparatūru tālāk minētajiem ietekmētajiem modeļiem.

Tā kā mūsu klientu drukas infrastruktūras drošība ir ārkārtīgi svarīga, mēs aicinām ievērot sniegtos ieteikumus.

• Nesavienojiet produktu ar publiskiem interneta tīkliem tieši. Tā vietā, izveidojot savienojumu ar internetu, izmantojiet privātu IP adresi vidē, kurā internetam var piekļūt no droša privātā tīkla, kas veidots ar ugunsmūra produktiem, vadu maršrutētājiem vai Wi-Fi maršrutētājiem.
• Nomainiet produkta noklusējuma paroli uz jaunu paroli.
• Iestatiet administratora un lietotāju ID un paroli.
• Pārliecinieties, ka paroles un citi līdzīgi iestatījumi dažādām funkcijām ir pietiekami droši.
• Ja produktam ir vienpakāpes vai vairākpakāpju autentifikācijas iespējas, izmantojiet tās, lai apstiprinātu tā lietotāja identitāti, kurš izmanto produktu.
• Ņemiet vērā fiziskās drošības vajadzības, tostarp tās, kas saistītas ar produkta atrašanās vietu utt.

Papildinformāciju par produkta drošu savienošanu ar tīklu skatiet šeit.

Papildus iepriekš minētajiem pasākumiem programmaparatūra, kas paredzēta šo problēmu novēršanai noteiktiem produktiem, būs pieejama ar automātiskiem atjauninājumiem vai mūsu tīmekļa vietnēs. Lūdzu, skatiet ietekmētos modeļus un apmeklējiet atbalsta lapu, lai saņemtu informāciju par programmaparatūru, programmatūru un produktu atbalstu.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks identificēta citos produktos, mēs atjaunināsim šo rakstu.

CVE/CVSS

CVE-2026-1789: ievainojamība pārlūkprogrammas attālās pārvaldības interfeisā var ļaut administratoram piekļūt sensitīvai informācijai ierīcē, izmantojot īpaši izveidotus pieprasījumus, kas ietekmē noteiktus ražošanas printerus un biroju/mazu biroju daudzfunkciju printerus. CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N (pamatvērtējums: 6.9).

Par šīs ievainojamības atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2026-1789: Hengrui Vangam un Ranganatha Rao Sridharam, kas strādā ar Praetorian

Atjauninājumu vēsture

2026. gada 23. aprīlis: izveidots.

Apraksts:

Ir identificēta OpenSSL ievainojamība, kur ļaunprātīgs lietotājs var piegādāt Cryptographic Message Syntax (CMS) ziņojumu ar lielizmēra inicializācijas vektoru (IV). OpenSSL kopē šo IV fiksēta lieluma grēdas buferī, nepārbaudot tā garumu, kā rezultātā rodas grēdas bufera pārpilde. Šī ievainojamība ietekmē rīka OpenSSL CMS AuthEnvelopedData un EnvelopedData struktūru parsēšanu, kas izmanto autentificētu šifrēšanu ar saistītu datu (Authenticated Encryption with Associated Data, AEAD) šifriem, piemēram, AES-GCM.

Tālāk ir norādīta ievainojamības iespējamā ietekme.

• Pakalpojuma atteikums lietojumprogrammas avāriju dēļ
• Iespējama attāla koda izpilde, kas atkarīga no platformas aizsardzības
• Derīgas atslēgas uzbrucējam nav nepieciešamas, jo grēdas bufera pārplūde rodas pirms autentifikācijas.

IRIS šo ievainojamību uztvēra nopietni un apstiprināja, ka viens no tā produktiem izmanto OpenSSL. Ietekmētais produkts ir IRIS XMailFetcher.

Ietekmētās versijas:

IRIS XMailFetcher: versija 5.0.29 un vecākas versijas.

Novēršana:

IRIS ir izlaidis IRIS XMailFetcher versiju 5.0.30, drošības atjauninājumu, kas attiecas uz šo ievainojamību (CVE-2025-15467).

Šajā versijā nav papildu izmaiņu vai jaunu funkciju, un tās mērķis ir tikai šīs problēmas novēršana.

Mēs stingri iesakām pēc iespējas ātrāk atjaunināt uz versiju 5.0.30. Ja nepieciešama palīdzība saistībā ar atjaunināšanu, lūdzu, sazinieties ar mūsu atbalsta komandu.

Labojums ir pieejams “lejupielādes centrā”, un paziņojums ir atrodams IRIS partneru portāla sadaļā “Tehniskie jaunumi” zem virsraksta: “IRIS XMailFetcher 5.0.30 – CVE-2025-15467 Fix”.

Lūdzu, ņemiet vērā, ka IRIS atrisināja šo problēmu, 2026. gada 19. februārī izlaižot problēmas novēršanas versiju.

Nav ziņojumu par šīs ievainojamības izmantošanu reālajā vidē. Tomēr, lai uzlabotu produktu drošību, mēs iesakām visiem klientiem instalēt jaunāko IRIS XMailFetcher versiju 5.0.30.

CVE/CVSS:

CVE-2025-15467: grēdas bufera pārpildes ievainojamība rīkā OpenSSL, kas ietekmē CMS AuthEnvelodData un EnvelopedData ziņojumu parsēšanu. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

Programmatūrai IJ Scan Utility operētājsistēmai Windows ir konstatēta ievainojamība. Šī ievainojamība rodas tāpēc, ka Windows servisa izpildāmā faila ceļš nav ietverts pēdiņās. Ja faila ceļā ir atstarpes, lokāls uzbrucējs var izmantot šo situāciju, manipulējot ar ceļu, kurā ir atstarpes, tādējādi potenciāli ļaujot izpildīt ļaunprātīgu failu ar attiecīgā servisa privilēģijām.

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Lai uzlabotu produkta drošību, iesakām klientiem tālāk minētajiem ietekmētajiem modeļiem instalēt jaunāko pieejamo MP draiveri.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks identificēta citos produktos, mēs atjaunināsim šo rakstu.

Lūdzu, ņemiet vērā, ka ietekmētā programmatūra ir IJ Scan Utility operētājsistēmas Windows versijai 1.1.2–1.5.0 (ieskaitot abas versijas). Aplūkojiet ietekmētos modeļus.

MP draiveri, kas ietver atjauninātu programmatūru, kura risina šo problēmu, ir pieejami atbalsta tīmekļa vietnēs. Mēs iesakām klientiem instalēt jaunāko MP draiveri un pārliecināties, ka ir instalēta šāda programmatūras versija: IJ Scan Utility operētājsistēmas Windows versijai 1.6.0 vai jaunākai versijai.

CVE/CVSS

CVE-2026-1585: pēdiņu trūkuma dēļ Windows servisa izpildāmā faila ceļa ievainojamība programmā IJ Scan Utility operētājsistēmai Windows var ļaut lokālam uzbrucējam izpildīt ļaunprātīgu failu ar ietekmētā pakalpojuma privilēģijām.
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 8,4).

Par šīs ievainojamības atklāšanu Canon vēlas pateikties šim pētniekam:

• CVE-2026-1585: EnivalChen

Dažiem maza biroja daudzfunkcionālajiem printeriem un lāzerprinteriem ir konstatētas vairākas ievainojamības.

Šīs ievainojamības norāda uz iespēju, ka gadījumā, ja produkts ir tieši pieslēgts internetam bez maršrutētāja (vadu vai Wi-Fi), neautentificēts uzbrucējs no attāluma var izraisīt bufera pārpildi vai neatbilstošu atmiņas atbrīvošanu, kas, iespējams, var novest pie uzbrukuma ar patvaļīgu koda izpildi un/vai pakalpojuma atteici (DoS).

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Tomēr, lai uzlabotu produkta drošību, iesakām klientiem instalēt jaunāko pieejamo programmaparatūru tālāk minētajiem ietekmētajiem modeļiem. Mēs arī iesakām klientiem produktam iestatīt privātu IP adresi un izveidot tīkla vidi ar ugunsmūri vai vadu/Wi-Fi maršrutētāju, kas var ierobežot tīkla piekļuvi.

Lai iegūtu sīkāku informāciju par produktu aizsargāšanu, ja ir izveidots savienojums ar tīklu, apmeklējiet produktu drošības lapu.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks konstatēta citos produktos, mēs atjaunināsim šo rakstu.

Aplūkojiet ietekmētos modeļus.

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

CVE/CVSS

CVE-2025-14231: Bufera pārpilde drukas darbu apstrādē, ko veic WSD, mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14232: Bufera pārpilde XPS faila XML apstrādē mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14233: Neatbilstoša atmiņas atbrīvošana CPCA faila dzēšanas apstrādes procesā mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14234: Bufera pārpilde CPCA sarakstu apstrādē mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14235: Bufera pārpilde XPS fonta FPGM datu apstrādē mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14236: Bufera pārpilde adrešu grāmatas atribūta taga apstrādē mazu biroju daudzfunkciju printeros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

CVE-2025-14237: Bufera pārpilde XPS fonta parsēšanas apstrādē mazu biroju daudzfunkciju printeros un lāzerprinteros. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (pamatvērtējums: 9,3).

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2025-14231: STARLabs, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14232: GMO Cybersecurity (Ierae, Inc.), kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14233: Team PetoWorks, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14234: Team ANHTUD, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14235: PHP HOOLIGANS, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14236: DEVCORE Intern Program, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-14237: Team Neodyme, kas darbojas Trend Zero Day Initiative ietvaros

Atjauninājumu vēsture

2026. gada 06. marts: Atjaunināts ietekmēto modeļu saraksts.
2026. gada 27. februāris: Atjaunināts ietekmēto modeļu saraksts.
2026. gada 20. februāris: Atjaunināts ietekmēto modeļu saraksts.
2026. gada 13. februāris: Atjaunināts ietekmēto modeļu saraksts.
2026. gada 15. janvāris: Izveidots.

Apraksts:

Therefore Corporation GmbH nesen uzzināja, ka Therefore™ Online and Therefore™ On-Premises sistēmās konstatēta konta ievainojamība (uzdošanās par citu personu). Ļaunprātīgs lietotājs, pieslēdzoties Therefore™ serverim, iespējams, var uzdoties par tīmekļa servisa kontu vai servisa kontu, izmantojot API. Ja ļaunprātīgais lietotājs iegūst šo lietotāja piekļuvi, uzdodoties par citu personu, tad viņš, iespējams, var piekļūt sistēmā Therefore™ uzglabātiem dokumentiem. Šī uzdošanās par citu personu ir pieteikšanās līmenī (Therefore piekļuves līmenis), nevis operētājsistēmas līmenī.

Ietekmētās versijas:

Visas Therefore™ Online un Therefore™ On-Premises versijas.

Novēršana:

Therefore™ Online sistēmu klienti jau ir saņēmuši drošības ielāpus. Lietotājiem vai administratoriem nav jāveic nekādas papildu darbības.

Therefore™ On-Premises sistēmām ir pieejams steidzams labojums, ko var instalēt. Mēs stingri iesakām izmantot drošības ielāpus visām Therefore™ On-Premises sistēmām neatkarīgi no versijas. Mēs lūdzam klientus sazinātos ar vietējo Canon biroju vai pilnvaroto tālākpārdošanas partneri, lai iegūtu plašāku informāciju.

Lūdzu, ņemiet vērā, ka uzņēmums Therefore Corporation GmbH šo problēmu atrisināja, izlaižot steidzamu labojumu 2025. gada 20. oktobrī.

CVE/CVSS:

CVE-2025-11843: Therefore™ Online un Therefore™ On-Premises sistēmās konstatēta konta ievainojamības (uzdošanās par citu personu) problēma, kas, iespējams, varētu ļaut uzbrucējam piekļūt visiem saglabātajiem datiem.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N (pamatvērtējums: 8.8).

Atsevišķos printeru draiveros, kas paredzēti ražošanas printeriem, biroja / maza biroja daudzfunkcionālajiem printeriem un lāzerprinteriem, tika konstatētas vairākas ievainojamības. Šādas ievainojamības var potenciāli pieļaut atmiņas robežu pārsniegšanas (out-of-bonds) un/vai pakalpojumatteices (DoS) uzbrukumus, kad drukāšanu veic ļaunprātīga lietojumprogramma.

CVE/CVSS

CVE-2025-7698: Ietekmēto printera draiveru lasīšanas robežu pārsniegšanas (out-of-bonds) ievainojamība.

CVSS v4 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N (Pamatvērtība: 5,9).

CVSS v3 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:L (Pamatvērtība: 5,9).

CVE-2025-9903: Ietekmēto printera draiveru rakstīšanas robežu pārsniegšanas (out-of-bonds) ievainojamība veicot drukas apstrādi.

CVSS v4 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N (Pamatvērtība: 5,9).

CVSS v3 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:L (Pamatvērtība: 5,9).

CVE-2025-9904: Ietekmētā printera draivera nepiešķirtās atmiņas piekļuves ievainojamība veicot drukas apstrādi.

CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N (Pamatvērtējums: 6,9).

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L (Pamatvērtējums: 5,3).

Informācija par ievainojamību un tās novēršanu atrodama šeit:

CVE-2025-9904: Ietekmētā printera draivera nepiešķirtās atmiņas piekļuves ievainojamība veicot drukas apstrādi.

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2025-7698: Joseph Eastoe, kas darbojas Microsoft Offensive Research and Security Engineering (MORSE) komandā

Atjauninājumu vēsture

13 2026. gada marts: Saitē pievienoti ietekmētie printera draiveri (LIPS4 printera draiveris, LIPSLX printera draiveris, UFR II printera draiveris, PS printera draiveris un PCL6 printera draiveris)
2026. gada 15. janvāris: Saitē norādīti ietekmētie printeru draiveri (UFRII LT printera draiveris, CARPS2 printera draiveris un vispārējais FAX draiveris)
2025. gada 25. septembris: Izveidots

Canon U.S.A., Inc. nesen ir uzzinājusi, ka tīmekļa kamera Canon EOS Webcam Utility Pro operētājsistēmai MAC ir neatbilstošu direktoriju atļauju ievainojamība. Lai izmantotu šo iespējamo ievainojamību, ļaunprātīgam lietotājam ir jāpiesakās kā administratoram. Uzbrucējs var modificēt direktoriju, kā rezultātā var tikt izpildīts kods, izraisot privilēģiju eskalāciju.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanas gadījumiem, iesakām izlasīt drošības padomu.

Informācija par ievainojamību un tās novēršanu atrodama šeit:
Drošības padoms: Ievainojamības novēršana tīmekļa kamerai Canon EOS Webcam Utility Pro operētājsistēmai MAC OS

Tika konstatēta nodošanas (passback) ievainojamība, kas var ietekmēt dažus Canon ražošanas printerus, biroja / maza biroja daudzfunkcionālos printerus un lāzerprinterus. Šī ievainojamība varētu ļaut ļaunprātīgai personai, kas spēj iegūt produkta administratora privilēģijas, uzzināt autentifikācijas informāciju, piemēram, SMTP/LDAP savienojumus, kas konfigurēti produktā.

Mūsu klientu drukas infrastruktūras drošība ir ārkārtīgi svarīga, tāpēc mēs aicinām ievērot sniegtos ieteikumus.

• Nesavienojiet produktu ar publiskiem interneta tīkliem tieši. Tā vietā, izveidojot savienojumu ar internetu, izmantojiet privātu IP adresi vidē, kurā internetam var piekļūt no droša privātā tīkla, kas veidots ar ugunsmūra produktiem, vadu maršrutētājiem vai Wi-Fi maršrutētājiem.
• Nomainiet produkta noklusējuma paroli uz jaunu paroli.
• Iestatiet administratora un lietotāju ID un paroli.
• Pārliecinieties, ka paroles un citi līdzīgi iestatījumi dažādām funkcijām ir pietiekami droši.
• Ja produktam ir vienpakāpes vai vairākpakāpju autentifikācijas iespējas, izmantojiet tās, lai apstiprinātu tā lietotāja identitāti, kurš izmanto produktu.
• Ņemiet vērā fiziskās drošības vajadzības, tostarp tās, kas saistītas ar produkta atrašanās vietu utt.

Papildinformāciju par produkta drošu savienošanu ar tīklu skatiet šeit.

Vairākām mūsu ierīcēm ir izstrādāti arī programmaparatūras atjauninājumi, kas aizsargā pret šo ievainojamību. Pārbaudiet ietekmētos modeļus un apmeklējiet atbalsta lapu, lai saņemtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, vai sazinieties ar vietējo klientu atbalsta dienestu.

CVE/CVSS

CVE-2025-3078:

Nodošanas (passback) ievainojamība, kas skar ražošanas printerus un biroja daudzfunkcionālos printerus.
CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N (Pamatvērtējums: 6,3).
CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N (Pamatvērtējums: 8,7).

CVE-2025-3079:

Nodošanas (passback) ievainojamība, kas skar biroja / mazā biroja daudzfunkcionālos printerus un lāzerprinterus.
CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N (Pamatvērtējums: 6,3).
CVSS v3 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N (Pamatvērtējums: 8,7).

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2025-3078: Christopher Haller, kas darbojas ar Centripetal.
• CVE-2025-3079: Vladislav Volozhenko, neatkarīgs drošības pētnieks.

Dažos printera draiveros tika konstatēta robežu pārsniegšanas (out-of-bonds) ievainojamība, kas potenciāli var ietekmēt vairākus Canon ražošanas printerus, biroja/maza biroja daudzfunkcionālos printerus un lāzerprinterus. Šī ievainojamība var izraisīt drošības problēmu, tostarp drukas neatļaušanu, ja ievainojams printera draiveris apstrādā ļaunprātīgu drukas darbu. Pastāv arī iespēja izmantot patvaļīgu kodu, kad drukas darbu apstrādā ietekmētais printera draiveris.

Mūsu klientu drukas infrastruktūras drošībai ir liela nozīme, tāpēc Canon Eiropas uzņēmējdarbības atbalsta lapās, kā arī vietējās lapās tagad ir pieejams atjauninātais printera draiveris, kas paredzēts V3.15 draiveriem un jaunākām versijām. Lai novērstu problēmu, klienti ir aicināti lejupielādēt šo jauno programmatūru. Skatiet sīkāku informāciju tālāk.

CVE/CVSS

CVE-2025-1268: Ietekmētā printera draivera robežu pārsniegšanas (out-of-bonds) ievainojamība veicot EMF pārkodēšanu.

CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N (Pamatvērtējums: 9,3).

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L (Pamatvērtējums: 9,4).

Informācija par ievainojamību un tās novēršanu atrodama šeit:

CP2025-003 Atsevišķu ražošanas printeru, biroja/maza biroja daudzfunkcionālo printeru un lāzerprinteru printera draiveru ievainojamības novēršana

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2025-1268: Robert Ord, kas darbojas Microsoft Offensive Research and Security Engineering (MORSE) komandā

Atjauninājumu vēsture

13 2026. gada marts: Saitē pievienoti ietekmētie printera draiveri (LIPS4 printera draiveris, LIPSLX printera draiveris, UFR II printera draiveris, PS printera draiveris un PCL6 printera draiveris)
2025. gada 16. jūnijs: Saitē pievienots ietekmētais printera draiveris (PDF draiveris)
2025. gada 8. maijs: Saitē pievienoti ietekmētie printera draiveri (UFRII LT printera draiveris un CARPS2 printera draiveris) saitē
2025. gada 17. aprīlis: Saitē pievienots ietekmētais printera draiveris (Generic FAX printera draiveris)
2025. gada 28. marts: Izveidots

Atsevišķiem biroja / maza biroja daudzfunkcionālo printeru un lāzerprinteru printeru draiveriem ir konstatēta robežu pārsniegšanas (out-of-bonds) ievainojamība, kas var neļaut drukāt XPS dokumentu.

CVE/CVSS

CVE-2025-0234: Ietekmētā printera draivera robežu pārsniegšanas (out-of-bonds) ievainojamība veicot līkņu segmentēšanu.

CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N (Pamatvērtējums: 6,9).

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L (Pamatvērtējums: 5,3).

CVE-2025-0235: Robežu pārsniegšanas (out-of-bonds) ievainojamība atveidojot attēlu ietekmētajā printera draiverī nepareizas atmiņas atbrīvošanas dēļ.

CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N (Pamatvērtējums: 6,9).

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L (Pamatvērtējums: 5,3).

CVE-2025-0236: Robežu pārsniegšanas (out-of-bonds) ievainojamība apstrādājot slīpumu, kad ietekmētajā printera draiverī tiek atveidota līkne.

CVSS v4 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N (Pamatvērtējums: 6,9).

CVSS v3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L (Pamatvērtējums: 5,3).

Informācija par ievainojamību un tās novēršanu atrodama šeit:

CP2025-002 Atsevišķu biroja / maza biroja daudzfunkcionālo printeru un lāzerprinteru printera draiveru ievainojamības novēršana

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2025-0234, CVE-2025-0235 un CVE-2025-0236: devoke@HUST, wh1tc un Zhiniang Peng (@edwardzpeng), kas darbojas Kap0k Security Team

Dažiem maza biroja daudzfunkcionālajiem printeriem un lāzerprinteriem ir konstatētas vairākas ievainojamības.

Šīs ievainojamības rada iespēju, ka neautentificēts uzbrucējs produktā attālināti var izpildīt brīvi izvēlētu kodu, ja produkts ir savienots tieši ar internetu, neizmantojot maršrutētāju (vadu vai Wi-Fi). Viņi var arī uzbrukt ar pakalpojumatteici (DoS), izmantojot internetu.

<Bufera pārpilde>
CVE-2024-12647
CVE-2024-12648
CVE-2024-12649
CVE-2025-2146

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Tomēr, lai uzlabotu produkta drošību, iesakām klientiem instalēt jaunāko pieejamo programmaparatūru tālāk minētajiem ietekmētajiem modeļiem. Mēs arī iesakām klientiem produktam iestatīt privātu IP adresi un izveidot tīkla vidi ar ugunsmūri vai vadu/Wi-Fi maršrutētāju, kas var ierobežot tīkla piekļuvi.

Papildinformāciju par produkta drošību, kad ir izveidots savienojums ar tīklu, skatiet produkta drošības lapā.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks konstatēta citos produktos, mēs atjaunināsim šo rakstu.

Aplūkojiet ietekmētos modeļus.

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2024-12647: ExLuck (@ExLuck99), ANHTUD, kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2024-12648: Neodyme (@Neodyme), kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2024-12649: PHP Hooligans / Midnight Blue (@midnightbluelab), kas darbojas Trend Zero Day Initiative ietvaros
• CVE-2025-2146: YingMuo (@YingMuo), DEVCORE Internacionship Program, kas darbojas Trend Zero Day Initiative ietvaros

Atjauninājumu vēsture

2026. gada 20. februāris: Atjaunināts ietekmēto modeļu saraksts.
2025. gada 20. jūnijs: Atjaunināts ietekmēto modeļu saraksts.
2025. gada 22. maijs: Pievienots CVE ID (CVE-2025-2146), kas attiecas uz to pašu produktu sēriju.
2025. gada 21. februāris: Atjaunināts ietekmēto modeļu saraksts.
2025. gada 27. janvāris: Izveidots.

NT-ware pārņemtos karšu lasītājos (sākotnēji izstrādāja un nodrošināja rf IDEAS) ir konstatēta iespējama ID kartes unikalitātes problēma; informācija publicēta CVE-2024-1578.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanas gadījumiem, iesakām izlasīt drošības padomu.

Informācija par ievainojamību un tās novēršanu atrodama šeit:

Drošības ieteikums: Vairākas MiCard PLUS karšu lasītāja izlaistas rakstzīmes

Ir konstatēts potenciāls uniFLOW Online jutīgums pret kompromitējumu ierīces reģistrācijas laikā, informācija publicēta CVE-2024-1621.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanas gadījumiem, iesakām izlasīt drošības padomu.

Informācija par ievainojamību un tās novēršanu atrodama šeit:

Drošības ieteikums: ierīces reģistrācija var tikt pakļauta kompromitējumam

Atsevišķiem maza biroja multifunkcionālajiem printeriem un lāzerprinteriem ir konstatēta bufera pārpildes ievainojamība WSD protokola procesā.

Informācija par ievainojamību un tās novēršanu atrodama šeit:

CP2024-002 Maza biroja daudzfunkcionālo printeru un lāzerprinteru ievainojamības novēršana — Canon Produktu drošības incidentu reaģēšanas grupa

Dažiem maza biroja daudzfunkcionālajiem printeriem un lāzerprinteriem ir konstatētas vairākas ievainojamības.

Šīs ievainojamības rada iespēju, ka neautentificēts uzbrucējs produktā attālināti var izpildīt brīvi izvēlētu kodu, ja produkts ir savienots tieši ar internetu, neizmantojot maršrutētāju (vadu vai Wi-Fi). Viņi var arī uzbrukt ar pakalpojumatteici (DoS), izmantojot internetu.

<Bufera pārpilde>
CVE-2023-6229
CVE-2023-6230
CVE-2023-6231
CVE-2023-6232
CVE-2023-6233
CVE-2023-6234
CVE-2024-0244

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Tomēr, lai uzlabotu produkta drošību, iesakām klientiem instalēt jaunāko pieejamo programmaparatūru tālāk minētajiem ietekmētajiem modeļiem. Mēs arī iesakām klientiem produktam iestatīt privātu IP adresi un izveidot tīkla vidi ar ugunsmūri vai vadu/Wi-Fi maršrutētāju, kas var ierobežot tīkla piekļuvi.

Lai iegūtu sīkāku informāciju par produktu aizsargāšanu, ja ir izveidots savienojums ar tīklu, apmeklējiet produktu drošības lapu.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks konstatēta citos produktos, mēs atjaunināsim šo rakstu.

Aplūkojiet ietekmētos modeļus.

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2023-6229: Nguyen Quoc (Viet), kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-6230: Anonīms, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-6231: Team Vietetel, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-6232: ANHTUD, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-6233: ANHTUD, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-6234: Team Vietetel, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2024-0244: Connor Ford (@ByteInSight), Nettitude, kas darbojas Trend Micro's Zero Day Initiative ietvaros

Informācija par ievainojamību un tās novēršanu atrodama šeit:

CP2023-003 Strūklprinteru ievainojamības novēršana (mājas un biroja/lielformāta) — Canon Produktu drošības incidentu reaģēšanas grupa

Apraksts

IJ tīkla rīkam (IJ Network Tool) (turpmāk tekstā — programmatūra) ir konstatēti divi ievainojamības riski. Šīs ievainojamības rada iespēju, ka uzbrucējs, kas pieslēdzies tam pašam tīklam, kuram pievienots printeris, izmantojot programmatūru vai atsaucoties uz tās saziņu, var iegūt konfidenciālu informāciju par printera Wi-Fi savienojuma iestatījumiem.

CVE/CVSS

CVE-2023-1763: Sensitīvas informācijas iegūšana no programmatūras par printera Wi-Fi savienojuma iestatījumiem. CVSS v3 CVSS: 3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N Pamatvērtējums: 6,5.

CVE-2023-1764: Sensitīvas informācijas iegūšana no programmatūras saziņas par printera Wi-Fi savienojuma iestatījumiem. CVSS v3 CVSS: 3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N Pamatvērtējums: 6,5.

Ietekmētie produkti

CVE-2023-1763 skar šādus modeļus: 

Mac tīkla rīks: 

MAXIFY iB4040, MAXIFY iB4050, MAXIFY iB4140, MAXIFY iB4150

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2140, MAXIFY MB2150, MAXIFY MB2155, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB2740, MAXIFY MB2750, MAXIFY MB2755, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5140, MAXIFY MB5150, MAXIFY MB5155, MAXIFY MB5340, MAXIFY MB5350, MAXIFY MB5440, MAXIFY MB5450, MAXIFY MB5455

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Windows tīkla rīks: 

Nav attiecināms

CVE-2023-1764 skar šādus modeļus: 

Mac tīkla rīks: 

MAXIFY iB4040, MAXIFY iB4050, MAXIFY iB4140, MAXIFY iB4150

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2140, MAXIFY MB2150, MAXIFY MB2155, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB2740, MAXIFY MB2750, MAXIFY MB2755, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5140, MAXIFY MB5150, MAXIFY MB5155, MAXIFY MB5340, MAXIFY MB5350, MAXIFY MB5440, MAXIFY MB5450, MAXIFY MB5455

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Windows tīkla rīks: 

MAXIFY iB4040, MAXIFY iB4050

MAXIFY MB2040, MAXIFY MB2050, MAXIFY MB2340, MAXIFY MB2350, MAXIFY MB5040, MAXIFY MB5050, MAXIFY MB5340, MAXIFY MB5350

PIXMA E464, PIXMA E484

PIXMA G3400, PIXMA G3500, PIXMA G3501

PIXMA iP110, PIXMA iP5200R, PIXMA iP7240, PIXMA iP7250, PIXMA iP8740, PIXMA iP8750

PIXMA iX6840, PIXMA iX6850, PIXMA iX7000

PIXMA MG2940, PIXMA MG2950, PIXMA MG3140, PIXMA MG3150, PIXMA MG3240, PIXMA MG3250, PIXMA MG3500, PIXMA MG3540, PIXMA MG3550, PIXMA MG3640, PIXMA MG3650, PIXMA MG4140, PIXMA MG4150, PIXMA MG4240, PIXMA MG4250, PIXMA MG5240, PIXMA MG5250, PIXMA MG5340, PIXMA MG5350, PIXMA MG5440, PIXMA MG5450, PIXMA MG5540, PIXMA MG5550, PIXMA MG5640, PIXMA MG5650, PIXMA MG5740, PIXMA MG5750, PIXMA MG6140, PIXMA MG~6150, PIXMA MG6240, PIXMA MG6250, PIXMA MG6340, PIXMA MG6350, PIXMA MG6440, PIXMA MG6450, PIXMA MG6640, PIXMA MG6650, PIXMA MG6840, PIXMA MG6850, PIXMA MG6851, PIXMA MG6852, PIXMA MG6853, PIXMA MG7140, PIXMA MG7150, PIXMA MG7540, PIXMA MG7550, PIXMA MG7740, PIXMA MG7750, PIXMA MG7751, PIXMA MG7752, PIXMA MG7753, PIXMA MG8140, PIXMA MG8150, PIXMA MG8240, PIXMA MG8250

PIXMA MP495, PIXMA MP560, PIXMA MP600R, PIXMA MP620, PIXMA MP640, PIXMA MP800R, PIXMA MP970, PIXMA MP980, PIXMA MP990

PIXMA MX340, PIXMA MX350, PIXMA MX410, PIXMA MX420, PIXMA MX434, PIXMA MX435, PIXMA MX454, PIXMA MX455, PIXMA MX474, PIXMA MX475, PIXMA MX494, PIXMA MX495, PIXMA MX514, PIXMA MX515, PIXMA MX524, PIXMA MX525, PIXMA MX534, PIXMA MX535, PIXMA MX700, PIXMA MX714, PIXMA MX715, PIXMA MX725, PIXMA MX7600, PIXMA MX850, PIXMA MX860, PIXMA MX870, PIXMA MX884, PIXMA MX885, PIXMA MX894, PIXMA MX895, PIXMA MX924, PIXMA MX925

PIXMA PRO-1, PIXMA PRO-10, PIXMA PRO-100, PIXMA PRO-100S, PIXMA PRO-10S

Wireless Print Server WP-20

Ietekmētās versijas

CVE-2023-1763 ietekmē šādas versijas: 

Mac tīkla rīks: 

Ver.4.7.5 un vecākas versijas (atbalstītā operētājsistēma: OS X 10.9.5-macOS 13) 

Ver.4.7.3 un vecākas versijas (atbalstītā operētājsistēma: OS X 10.7.5-OS X 10.8)

Windows tīkla rīks: 

Nav attiecināms

CVE-2023-1764 ietekmē šādas versijas: 

Mac tīkla rīks: 

Ver.4.7.5 un vecākas versijas (atbalstītā operētājsistēma: OS X 10.9.5-macOS 13) 

Ver.4.7.3 un vecākas versijas (atbalstītā operētājsistēma: OS X 10.7.5-OS X 10.8)

Windows tīkla rīks: 

Ver.3.7.0

Seku mazināšana/novēršana

CVE-2023-1763: 

Šo ievainojamību var atrisināt, izmantojot printerus ar uzticamu tīkla savienojumu. Skatiet “Ar tīklu savienotu produktu drošība” šeit. 

Mac tīkla rīkam lejupielādējiet arī atjaunināto programmatūras versiju. 

Lai uzzinātu, kā atjaunināt MAXIFY un PIXMA strūklprinteru programmatūru uz Ver.4.7.6 (atbalstītā operētājsistēma: OS X 10.9.5-macOS 13) vai Ver.4.7.4 (atbalstītā operētājsistēma: OS X 10.7.5–OS X 10.8), apmeklējiet programmatūras lejupielādes lapu Patēriņa preču atbalsts un atlasiet savu modeli, izvēlieties cilni “Software” un atlasiet IJ tīkla rīku vai Wi-Fi savienojuma palīgu.

CVE-2023-1764: 

Šo ievainojamību var atrisināt, izmantojot printerus ar uzticamu tīkla savienojumu. Skatiet “Ar tīklu savienotu produktu drošība” šeit.

Pateicība

Canon vēlas pateikties Nīderlandes Kiberdrošības centram par ziņošanu par šīm ievainojamībām.

Ir konstatētas vairākas ievainojamības biroja / maza biroja multifunkcionālajiem printeriem, lāzerprinteriem un strūklprinteriem.

Šīs ievainojamības rada iespēju, ka neautentificēts uzbrucējs produktā attālināti var izpildīt brīvi izvēlētu kodu, ja produkts ir savienots tieši ar internetu, neizmantojot maršrutētāju (vadu vai Wi-Fi). Viņi var arī uzbrukt ar pakalpojumatteici (DoS), izmantojot internetu. Nepareiza RemoteUI autentifikācija var ļaut uzbrucējam patvaļīgi instalēt failus.

<Bufera pārpilde>
CVE-2023-0851
CVE-2023-0852
CVE-2023-0853
CVE-2023-0854
CVE-2023-0855
CVE-2023-0856
CVE-2022-43974

<Problēmas, kamēr notiek sistēmas administratoru sākotnējā reģistrācija vadības protokolos>
CVE-2023-0857

<RemoteUI nepareiza autentifikācija>
CVE-2023-0858

<Patvaļīga failu instalēšana>
CVE-2023-0859

Nav ziņojumu par šo ievainojamību izmantošanas gadījumiem. Tomēr, lai uzlabotu produkta drošību, iesakām klientiem instalēt jaunāko pieejamo programmaparatūru tālāk minētajiem ietekmētajiem modeļiem. Mēs arī iesakām klientiem produktam iestatīt privātu IP adresi un izveidot tīkla vidi ar ugunsmūri vai vadu/Wi-Fi maršrutētāju, kas var ierobežot tīkla piekļuvi.

Lai iegūtu sīkāku informāciju par produktu aizsargāšanu, ja ir izveidots savienojums ar tīklu, apmeklējiet produktu drošības lapu.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks konstatēta citos produktos, mēs atjaunināsim šo rakstu.

Aplūkojiet ietekmētos modeļus.

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Lai uzzinātu, kā atjaunināt MAXIFY, PIXMA un imagePROGRAF strūklprinteru programmaparatūru, skatiet tiešsaistes rokasgrāmatu.

Par šo ievainojamību atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2023-0851: Namnp, Le Tran Hai Tung, ANHTUD, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0852: R-SEC, Nettitude, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0853: DEVCORE, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0854: DEVCORE, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0855: Chi Tran, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0856: Team Vietetel, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2023-0857: Alex Rubin un Martin Rakhmanov
• CVE-2023-0858: Alex Rubin un Martin Rakhmanov
• CVE-2023-0859: Alex Rubin un Martin Rakhmanov

Potenciālā datu atklātības ievainojamība ir identificēta uniFLOW serverī un uniFLOW attālās drukas serverī.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanu, iesakām jaunināt programmaparatūru uz jaunāko versiju.

Informācija par ievainojamību un tās novēršanu atrodama šeit:

Drošības konsultācijas: MOM Tech atbalsta ievainojamība — NT-ware atbalsts

Canon lāzerprinteriem un maza biroja daudzfunkcionālajiem printeriem ir konstatēti vairāki bufera pārpildes gadījumi.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanu, iesakām jaunināt ierīces programmaparatūru uz jaunāko versiju.

Šī ievainojamība liecina, ka, ja produkts ir tieši savienots ar internetu, neizmantojot vadu vai Wi-Fi maršrutētāju, trešā persona internetā varētu izpildīt patvaļīgu kodu vai produkts var tikt pakļauts pakalpojumatteices (DoS) uzbrukumam.

Mēs neiesakām izveidot tiešu savienojumu ar internetu — izmantojiet privātu IP adresi drošā privātā tīklā, kas konfigurēts ar ugunsmūri vai vadu/Wi-Fi maršrutētāju. Skatiet sadaļu “Ar tīklu savienotu produktu drošība” vietnē www.canon-europe.com/support/product-security.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks identificēta citos produktos, mēs atjaunināsim šo rakstu.

Aplūkojiet ietekmētos modeļus.

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Par šīs ievainojamības atklāšanu Canon vēlas pateikties šim pētniekam:

• CVE-2022-43608: Angelboy (@scwuaptx), DEVCORE Research Team, kas darbojas Trend Micro's Zero Day Initiative ietvaros

Canon lāzerprinteriem un maza biroja daudzfunkcionālajiem printeriem ir konstatēti vairāki bufera pārpildes gadījumi. Saistītie CVE: CVE-2022-24672, CVE-2022-24673 un CVE-2022-24674. Ietekmēto modeļu saraksts ir sniegts turpinājumā.

Lai gan mēs neesam saņēmuši ziņojumus par šīs ievainojamības izmantošanu, iesakām jaunināt ierīces programmaparatūru uz jaunāko versiju.

Šī ievainojamība liecina, ka pastāv iespēja — ja produkts ir tieši savienots ar internetu, neizmantojot vadu vai Wi-Fi maršrutētāju, trešā persona internetā varētu izpildīt patvaļīgu kodu vai produkts var tikt pakļauts pakalpojumatteices (DoS) uzbrukumam.

Mēs neiesakām izveidot tiešu savienojumu ar internetu — izmantojiet privātu IP adresi drošā privātā tīklā, kas konfigurēts ar ugunsmūri vai vadu/Wi-Fi maršrutētāju. Skatiet sadaļu “Ar tīklu savienotu produktu drošība” vietnē www.canon-europe.com/support/product-security.

Mēs turpināsim stiprināt drošības pasākumus, lai jūs varētu turpināt izmantot Canon produktus ar mierīgu prātu. Ja ievainojamība tiks konstatēta citos produktos, mēs nekavējoties atjaunināsim šo rakstu.

Pretpasākumi ir nepieciešami šādiem lāzerprinteriem un maza biroja daudzfunkcionālajiem printeriem:

imageRUNNER 1133, 1133A, 1133iF3
imageRUNNER 1435, 1435i, 1435iF, 1435P
imageRUNNER 1643i II, 1643iF II
imageRUNNER 1643i, 1643iF
imageRUNNER C1225, C1225iF
imageRUNNER C1325iF, C1335iF, C1335iFC
imageRUNNER C3025, C3025i
imageRUNNER C3125i
i-SENSYS LBP214dw, LBP215x
i-SENSYS LBP223dw, LBP226dw, LBP228x
i-SENSYS LBP233dw, LBP236dw
i-SENSYS LBP251dw, LBP252dw, LBP253x
i-SENSYS LBP611Cn, LBP613Cdw
i-SENSYS LBP621Cw, LBP623Cdw
i-SENSYS LBP631Cw, LBP633Cdw
i-SENSYS LBP653Cdw, LBP654x
i-SENSYS LBP663Cdw, LBP644Cx
i-SENSYS MF411dw, MF416dw, MF418x, MF419x
i-SENSYS MF421dw, MF426dw, MF428x, MF429x
i-SENSYS MF443dw MF445dw, MF446x, MF449x
i-SENSYS MF453dw, MF455dw
i-SENSYS MF512x, MF515x
i-SENSYS MF542x, MF543x
i-SENSYS MF552dw, MF553dw
i-SENSYS MF6140dn, MF6180dw
i-SENSYS MF623Cn, MF628Cw
i-SENSYS MF631Cn, MF633Cdw, MF635Cx
i-SENSYS MF641Cw, MF643Cdw, MF645Cx
i-SENSYS MF651Cw, MF655Cdw, MF657Cdw
i-SENSYS MF724Cdw, MF728Cdw, MF729Cx
i-SENSYS MF732Cdw, MF734Cdw, MF735Cx
i-SENSYS MF742Cdw, MF 744Cdw, MF746Cx
i-SENSYS MF8230Cn, MF8230Cw
i-SENSYS MF8540Cdn, MF8550Cdn, MF8580Cdw
i-SENSYS X 1238i II, 1238iF II
i-SENSYS X 1238i, 1238iF
i-SENSYS X 1238Pr II, 1238P II
i-SENSYS X 1238Pr, 1238P
i-SENSYS X C1127i, C1127iF
i-SENSYS X C1127P
WG7440, 7450, 7450F, 7450Z
WG7540, 7550, 7550F, 7550Z

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Par šīs ievainojamības atklāšanu Canon vēlas pateikties šiem pētniekiem:

• CVE-2022-24672: Mehdi Talbi (@abu_y0ussef), Remi Jullian (@netsecurity1), Thomas Jeunet (@cleptho) no @Synacktiv, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2022-24673: Angelboy (@scwuaptx), DEVCORE Research Team, kas darbojas Trend Micro's Zero Day Initiative ietvaros
• CVE-2022-24674: Nicolas Devillers (@nikaw), Jean-Romain Garnier un Raphael Rigo (@_trou_), kas darbojas Trend Micro's Zero Day Initiative ietvaros

Spring MVC vai Spring WebFlux lietojumprogramma, kas darbojas JDK 9+, datu saistīšanas laikā var būt neaizsargāta pret kodu attālu izpildi (remote code execution, RCE). Lai izmantotu šo ievainojamību, lietojumprogrammai jābūt tīmekļa lietojumprogrammu arhīvā (web application archive, WAR), kas atrodas Tomcat vidē. Ja lietojumprogramma ir izvietota kā Spring Boot izpildāms JAR (noklusējuma), šī ievainojamība to neskar. Tomēr šīs ievainojamības būtība ir vispārīga, un var būt citi veidi, kā to izmantot. Ļaunprātīgs .class fails var panākt praktiski jebko: nopludināt datus vai noslēpumus, palaist citu programmu, piemēram, izspiedējvīrusus, iegūt kriptovalūtas, ieviest aizmugurisku piekļuvi vai ļaut tālāk iekļūt tīklā.

https://cpp.canon/products-technologies/security/latest-news/

Šajā lapā ir norādīti Canon ražošanas drukas (Canon Production Printing, CPP) produkti, kurus var skart šādi CVE ziņojumi:

• CVE-2022-22947
• CVE-2022-22950
• CVE-2022-22963
• CVE-2022-22965

Tālāk tabulā ir norādīts ievainojamības statuss Canon ražošanas drukas aparatūras un programmatūras produktiem. Regulāri pārbaudiet šo lapu, lai uzzinātu jaunumu statusu.

Izvērtētie produkti un to statuss

CTS — grieztu lokšņu un tonera sistēmas / strūklprintera lapu padeves prese

Produkti	Statuss
PRISMAsync drukas servera produkti	Nav ietekmēts
varioPRINT 140 sērija	Nav ietekmēts
varioPRINT 6000 sērija	Nav ietekmēts
varioPRINT i sērija	Nav ietekmēts
VarioPRINT iX sērija	Nav ietekmēts
Service Control Station (SCS), kas paredzēts VPi300 sērijai un VPiX sērijai	Nav ietekmēts
Planšetdators VPi300 sērijai un VPiX sērijai	Nav ietekmēts
PRISMAsync i300/iX Simulator	Nav ietekmēts
PRISMAprepare V6	Nav ietekmēts
PRISMAprepare V7	Nav ietekmēts
PRISMAprepare V8	Nav ietekmēts
PRISMAdirect V1	Nav ietekmēts
PRISMAprofiler	Nav ietekmēts
Pakalpojums PRISMA Cloud PRISMA Home PRISMAprepare Go PRISMAlytics Accounting	Nav ietekmēts

PPP — ražošanas drukas produkti

Produkti	Statuss
ColorStream 3×00 ColorStream 3x00Z	Nav ietekmēts
Colorstream 6000	Nav ietekmēts
ColorStream 8000	Nav ietekmēts
ProStream 1×00	Nav ietekmēts
LabelStream 4000 sērija	Nav ietekmēts
ImageStream	Nav ietekmēts
JetStream V1 JetStream V2	Nav ietekmēts
VarioStream 4000	Nav ietekmēts
VarioStream 7000 sērija	Nav ietekmēts
VarioStream 8000	Nav ietekmēts
PRISMAproduction Server V5	Nav ietekmēts
PRISMAproduction Host	Nav ietekmēts
PRISMAcontrol	Nav ietekmēts
PRISMAspool	Nav ietekmēts
PRISMAsimulate	Pieejama jauna versija*
TrueProof	Nav ietekmēts
DocSetter	Nav ietekmēts
DPconvert	Nav ietekmēts

* Sazinieties ar vietējo Canon servisa pārstāvi

LFG — Lielformāta grafika

Produkti	Statuss
Arizona sērija	notiek izmeklēšana
Colorado sērija	Nav ietekmēts
ONYX HUB	notiek izmeklēšana
ONYX Thrive	notiek izmeklēšana
ONYX ProductionHouse	notiek izmeklēšana

TDS — tehniskās dokumentācijas sistēmas

Produkti	Statuss
TDS sērijas	Nav ietekmēts
PlotWave sērija	Nav ietekmēts
ColorWave sērija	Nav ietekmēts
Scanner Professional	Nav ietekmēts
Driver Select, Driver Express, Publisher Mobile	Nav ietekmēts
Publisher Select	Nav ietekmēts
Account Console	Nav ietekmēts
Repro Desk	Nav ietekmēts

Servisa un atbalsta rīki

Produkti	Statuss
Attāla apkope	Nav ietekmēts

Canon uzņēmuma/maza biroja daudzfunkcionālo printeru un lāzerprinteru/strūklprinteru kriptogrāfijas bibliotēkā ir konstatēta ievainojamība RSA atslēgas ģenerēšanas procesā. Pilns ietekmēto produktu saraksts ir turpinājumā.

Šī ievainojamība rada iespēju, ka RSA atslēgu pāra ģenerēšanas problēmu dēļ var tikt noteikta RSA publiskās atslēgas privātā atslēga.
Šī ievainojamība rada iespēju, ka uzbrucējs var pārtvert vai viltot kriptogrāfiskas bibliotēkas ģenerētus RSA atslēgas pārus, ko izmanto TLS vai IPSec.

Līdz šim mēs neesam saņēmuši nekādus ziņojumus par šīs ievainojamības radītiem incidentiem, un lietotāji var būt droši, ka programmaparatūras problēmas ietekmētajiem produktiem tiks novērstas.

Ja RSA atslēgas pāri ir izveidojusi kriptogrāfijas bibliotēka ar šo ievainojamību, pēc programmaparatūras atjaunināšanas jāveic papildu darbības. Skatiet, kādas darbības jāveic, lai pārbaudītu atslēgu un veiktu pretpasākumus attiecīgajam skartajam produktam.

Turklāt nepievienojiet produktu tieši internetam, bet izmantojiet ugunsmūri, savienojumu ar vadu vai droši aizsargātu privātu tīklu, ja izmantojat Wi-Fi maršrutētāju. Iestatiet arī privātu IP adresi.

Sīkāku informāciju skatiet lapā produkta droša savienošana ar tīklu.

Uzņēmuma/maza biroja daudzfunkcionālie printeri un lāzerprinteri/strūklprinteri, kuriem nepieciešami pretpasākumi.

imagePROGRAF TZ-30000
imagePROGRAF TX-4100/3100/2100
iPR C165/C170
iR 1643i II, iR 1643iF II
iR 2425
iR 2645/2635/2630
iR-ADV 4551/4545/4535/4525
iR-ADV 4551Ⅲ/4545 Ⅲ/4535 Ⅲ/4525 Ⅲ
iR-ADV 4725/4735/4745/4751
iR-ADV 527/617/717
iR-ADV 6000
iR-ADV 6575/6565/6560/6555
iR-ADV 6575Ⅲ/6565Ⅲ/6560Ⅲ
iR-ADV 6755/6765/6780
iR-ADV 6855/6860/6870
iR-ADV 715/615/525
iR-ADV 715Ⅲ/615Ⅲ/525Ⅲ
iR-ADV 8505/8595/8585
iR-ADV 8505Ⅲ/8595Ⅲ/8585Ⅲ
iR-ADV 8705/8705B/8795
iR-ADV C256Ⅲ/C356Ⅲ
iR-ADV C257/C357
iR-ADV C3530/C3520
iR-ADV C3530Ⅲ/C3520Ⅲ
iR-ADV C355/255
iR-ADV C356/256
iR-ADV C3730/C3720
iR-ADV C3830/C3826/C3835
iR-ADV C475Ⅲ
iR-ADV C477/C478
iR-ADV C5560/5550/5540/5535
iR-ADV C5560Ⅲ/5550Ⅲ/5540Ⅲ/5535Ⅲ
iR-ADV C5760/5750/5740/5735
iR-ADV C5870/C5860/C5850/C5840
iR-ADV C7580/C7570/C7565
iR-ADV C7580Ⅲ/C7570Ⅲ/C7565Ⅲ
iR-ADV C7780/C7770/C7765
iRC3226
i-SENSYS X 1238 II, i-SENSYS X 1238iF II
i-SENSYS X 1238P II, i-SENSYS X 1238Pr II
LBP233Dw, LBP236Dw
LBP631Cw, LBP633Cdw
MF 453dw, MF455dw
MF552dw, MF553dw
MF651dw, MF655Cdw, MF657Cdw
PRO-G1/PRO-300,PRO-S1/PRO-200
imagePROGRAF GP-200/300/2000/4000
MAXIFY GX6040
MAXIFY GX6050
MAXIFY GX7040
MAXIFY GX7050
MF830Cx, MF832Cx, MF832Cdw, iR C1533, C1538
LBP720Cx / LBP722Cx / LBP722Ci / LBP722Cdw / C1533P / C1538P

Strūklprinteru atslēgas pārbaudīšana un ievainojamības novēršana

Lai iegūtu informāciju par programmaparatūru, programmatūru un produktu atbalstu, apmeklējiet atbalsta lapu.

Pašlaik mēs izmeklējam “Log4j” https://logging.apache.org/log4j/2.x/security.html ievainojamības ietekmi uz Canon produktiem. Mēs atjaunināsim šo rakstu, kolīdz būs pieejama kāda informācija.

Tālāk tabulā ir norādīts sarakstā iekļauto aparatūras un programmatūras produktu ievainojamības statuss. Regulāri pārbaudiet šo informāciju.

Produkts	Statuss/paziņojums
Canon • imageRUNNER • imageRUNNER ADVANCE • imagePRESS • i-SENSYS • i-SENSYS X • imagePROGRAF • imageFORMULA	Šīs ierīces nav ietekmētas.
Canon • imageWARE Management Console • imageWARE Enterprise Management Console • eMaintenance Optimiser • eMaintenance Universal Gateway • Canon Data Collection Agent • Remote Support Operator Kit • Content Delivery Service • Device Settings Configurator • Canon Reporting Service Online • OS400 Object Generator • CQue Driver • SQue Driver	Programmatūra nav ietekmēta.
Canon ražošanas druka (angļu valodā) • PRISMA grieztu lokšņu un tonera sistēmas • Nepārtraukta drukāšana • Lielformāta grafika • Tehnisko dokumentu sistēmas	https://cpp.canon/products-technologies/security/latest-news/
NT-ware • uniFLOW • uniFLOW Online • uniFLOW Online Express • uniFLOW sysHub • PRISMAsatellite	https://www.uniflow.global/en/security/security-and-maintenance/
Avantech • Scan2x • Scan2x Online	Scan2x paziņojums par Log4J ievainojamību — scan2x
Cirrato • Cirrato One • Cirrato Embedded	Nav ietekmēts.
Compart • DocBridge Suite	Informācija — Compart
DocsPro • Import Controller • XML Importer • Email Importer • Knowledge Base • Universal Test Release • Advanced PDF Creator • Webservice Export Connector	Nav ietekmēts.
Docuform • Mercury Suite	Nav ietekmēts.
DoxSense • WES Pull Print 2.1 • WES Authentication 2.1	Nav ietekmēts.
EFI • Fiery	https://communities.efi.com/s/feed/0D55w00009ARpbxCAD?language=en_US
Genius Bytes • Genius MFP Canon Client	Log4j Zero Day Vulnerability — Genius Bytes Nav ietekmēts.
Diafragma • IRISXtract • IRISPowerscan • Readiris PDF 22 • Readiris 16 & 17 • Cardiris • IRISPulse	IRIS-Statement-Log4J_20141217.pdf (irisdatacapture.com)
Kantar • Discover Assessment Web Survey	Nav ietekmēts.
Netaphor • SiteAudit	SiteAudit ievainojamības ietekme | Netaphor SiteAudit(TM) Knowledgebase
Netikus • EventSentry	Vai EventSentry skar Log4Shell Log4j RCE CVE-2021-44228 | EventSentry
Newfield IT • Asset DB	Nav ietekmēts.
Objectif Lune • Connect	Objectif Lune Connect iepriekšējās versijas izmantoja log4j moduli, bet tas tika noņemts no programmatūras līdz ar Objectif Lune Connect 2018.1 palaišanu. Šī ievainojamība neskar Objectif Lune Connect v. 2018.1 un jaunākas versijas.
OptimiDoc • OptimiDoc	OptimiDoc | Log4j informācija
Overall • Print In City	Nav ietekmēts.
PaperCut • PaperCut	Log4Shell (CVE-2021-44228) — Kāda ir ietekme uz PaperCut? | PaperCut
Paper River • TotalCopy	Nav ietekmēts.
Ringdale • FollowMe Embedded	Nav ietekmēts.
Quadient • Inspire Suite	Informācija par Quadient University Log4J esošajiem klientiem
T5 Solutions • TG-PLOT/CAD-RIP	Nav ietekmēts.
Therefore • Therefore • Therefore Online	https://therefore.net/log4j-therefore-unaffected/
Tungsten • PowerPDF • eCopy ShareScan • Robotic Process Automation • Tungsten Communication Manager risinājums	Tungsten produktu un Apache Log4j2 ievainojamības informācija — Tungsten Nav ietekmēts. Kamēr ShareScan ielāpi nav gatavi, izpildiet darbības, kas norādītas rakstā ShareScan and Log4j vulnerability (CVE-2021-44228) — Tungsten. Ielāpi ir pieejami. Skatiet rakstu Tungsten RPA CVE-2021-44228 log4j Security Exploit Information. Ielāpi ir pieejami. Skatiet rakstu log4j vulnerability in Tungsten Communications Manager.
Westpole • Intelligent Print Management	Nav ietekmēts.

Canon mazu biroju lāzerprinteru un daudzfunkcionālo ierīču attālinātā lietotāja interfeisa funkcijā ir konstatēta starpvietņu skriptēšanas ievainojamība — skatiet ietekmētos modeļus (ievainojamības identifikācijas numurs: JVN # 64806328).

Lai šo ievainojamību izmantotu, uzbrucējam jāpiesakās administratora režīmā. Lai gan nav ziņojumu par datu zudumu, iesakām instalēt jaunāko programmaparatūru, lai uzlabotu drošību. Atjauninājumi ir pieejami vietnē https://www.canon-europe.com/support/.

Mēs arī iesakām iestatīt privātu IP adresi un tīkla vidi, lai nodrošinātu, ka savienojums tiek izveidots, izmantojot ugunsmūri vai Wi-Fi maršrutētāju, kas var ierobežot piekļuvi tīklam. Papildinformāciju par produkta drošu savienošanu ar tīklu skatiet vietnē https://www.canon-europe.com/support/product-security/.

Ietekmētie produkti:

iSENSYS

LBP162DW
LBP113W
LBP151DW<
MF269dw, MF267dw, MF264dw
MF113w
MF249dw, MF247dw, MF244dw, MF237w, MF232w
MF229dw, MF217w, MF212w
MF4780w, MF4890dw

imageRUNNER

2206IF
2204N, 2204F

Microsoft Windows drukas spolētāja ievainojamība tika atklāta šogad, un tā ir nodēvēta par “PrintNightmare”. Šī ievainojamība ļauj hakeriem noteiktos apstākļos pārņemt vadību pār lietotāju Windows sistēmu.

Lai gan tas var ietekmēt Canon ierīču lietotājus, to izraisa Microsoft programmatūras trūkums, nevis problēmas ar Canon produktiem vai programmatūru. Problēma ir saistīta ar drukas spolētāja funkcionalitāti, kas ir instalēta katrā Windows serverī un Windows darbvirsmā.

Microsoft paziņoja, ka šīs ievainojamības ir atrisinātas Microsoft 6. jūlija drošības atjauninājumā, kas pieejams, izmantojot Windows Update vai lejupielādējot un instalējot KB5004945. Microsoft iesaka IT komandām nekavējoties piemērot šo atjauninājumu, lai novērstu šī ievainojamības izraisītas ielaušanās gadījumus. Lai iegūtu pilnu Microsoft informāciju par šo jautājumu, apmeklējiet vietni https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527.

Papildus Microsoft ieteikumiem instalēt atjauninājumus, mēs iesakām arī nodrošināt sistēmu un pārliecināties, ka šādi reģistra iestatījumi ir iestatīti uz 0 (nulle) vai nav definēti. (Piezīme: šīs reģistra atslēgas nepastāv pēc noklusējuma, un tāpēc tās ir droši iestatījumi.) Pārbaudiet arī, vai jūsu grupas politikas iestatījumi ir pareizi.

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
• NoWarningNoElevationOnInstall = 0 (DWORD) vai nav noteikts (noklusējuma iestatījums)
• UpdatePromptSettings = 0 (DWORD) vai nav definēti (noklusējuma iestatījums)

Ja “NoWarningNoElevationOnInstall” reģistra atslēga ir iestatīta uz 1, jūsu sistēmas drošība samazinās.

Mēs iesakām IT komandai turpināt uzraudzīt Microsoft atbalsta vietni, lai nodrošinātu, ka tiek izmantoti visi piemērojamie operētājsistēmas ielāpi.

Pēc izmeklēšanas esam noteikuši, ka šī ievainojamība neietekmē nevienu imageRUNNER, imageRUNNER ADVANCE vai i-SENSYS produktu. Mēs turpinām izmeklēšanu visā Canon produktu klāstā un atjaunināsim šo rakstu, kad būs pieejama plašāka informācija.

Federālajam informācijas drošības birojs (Federal Office for Information Security, BSI) ir vērsis mūsu uzmanību uz to, ka tīkla funkcionalitātei microMIND modulī ir vairākos veidos izmantojama ievainojamība. Šo ievainojamību atklāja “Forescout Technologies” pētnieki Jos Wetzels, Stanislav Dashevskyi, Amine Amri un Daniel dos Santos.

MicroMIND izmanto uIP atklātā pirmkoda tīkla steku (https://en.wikipedia.org/wiki/UIP_(micro_IP)), ko izmanto tūkstošiem uzņēmumu, lai tīklā iespējotu savu programmatūru / aparatūru. Pētnieki konstatēja — ja šīs ievainojamības izmanto, var notikt pakalpojumatteices (DoS) uzbrukums, kurā ierīce tiek atstāta bezsaistē vai kurā tiek veikta koda attāla izpilde (Remote Code execution, RCE) ar microMIND. Lai novērstu šīs ievainojamības, NT-ware ir izlaidusi jaunu programmaparatūru, novērš visas ziņotās problēmas. Šī drošības informatīvā ziņojuma rakstīšanas laikā nav zināms, neviens incidents, kurā būtu iesaistīts microMIND.

Ekspluatējamais nosaukums / saite: AMNESIA:33, https://www.forescout.com/amnesia33/

Šajā programmaparatūrā skartie CVE: CVE-2020-13988, CVE-2020-13987, CVE-2020-17438, CVE-2020-17437

CVE, kas nav saistīti ar uIP steka īstenošanu ar microMIND: CVE-2020-17440, CVE-2020-17439, CVE-2020-24334, CVE-2020-24335

Ietekmētā uniFLOW microMIND programmaparatūra: Versija 2.0.9 un vecākas versijas vai tās, kas piegādātas līdz 2020. gada oktobrim.

Ietekmes mazināšana / darbība: ja jūsu microMIND ir ietekmēta, sazinieties ar Canon pārstāvi, lai vienotos par programmaparatūras atjaunināšanu.

Izraēlas kiberdrošības uzņēmums SCADAfence Ltd. pievērsa uzmanību ievainojamībai saistībā ar IP steka protokolu, ko izmanto Canon lāzerprinteris un daudzfunkciju printeris maziem birojiem. Sīkāku informāciju skatiet CVE-2020-16849.

Pastāv iespēja, ka trešās personas vērš uzbrukumu pret ierīci, ja tā ir savienota ar tīklu, kas ļauj ar nenodrošinātu tīklu iegūt “Adrešu grāmatas” un/vai “Administratora paroles” fragmentus. Jāņem vērā — ja HTTPS tiek izmantots attālinātā lietotāja interfeisa saziņai, dati tiek aizsargāti ar šifrēšanu.

Līdz šim nav konstatēts, ka šāda ievainojamības būtu izmantota, lai radītu kaitējumu. Tomēr, lai nodrošinātu, ka mūsu klienti mūsu produktus var izmantot droši, šādiem produktiem būs pieejama jauna programmaparatūra.

i-SENSYS MF sērija
MF113W
MF212W/MF216N/MF217W
MF226DN/MF229DW
MF231/MF232W/MF237W
MF244DW/MF247DW/MF249DW
MF264DW/MF267DW/MF269DW
MF4570DN/MF4580DN
MF4780W
MF4870DN/MF4890DW

i-SENSYS LBP sērija
LBP113W
LBP151DW
LBP162DW

imageRUNNER sērija
IR2202N
IR2204N/IR2204F
IR2206N/IR2206IF

Skatiet lietotāja rokasgrāmatu, lai uzzinātu, kā atjaunināt programmaparatūru.
Mēs iesakām produktiem izmantot privātu IP adresi, bet produktiem —tīkla parametru vadīklas, piemēram, ugunsmūri vai Wi-Fi maršrutētāju, kas var ierobežot piekļuvi tīklam. Papildu norādījumi ir sniegti sadaļā “Ar tīklu savienotu produktu drošība”.

“Ripple20” ievainojamības izpēte nav atklājusi Canon printeru produktu ievainojamību.

Lai gan Canon bezvadu funkcijas parole atbilst pašreizējam WPA standartam, mēs apzināmies, ka astoņu zīmju ciparu paroļu sniegtā drošība netiek uzskatīta par tik spēcīgu, kā tas bijis agrāk. Ņemot to vērā, mēs to iesakām izmantot vietās, kur ir bažas par bezvadu drošību, piemēram, publiskās vietās; Canon aprīkojumam vienmēr ir jābūt savienotam ar drošu Wi-Fi. Mēs nopietni uztveram drošību — atjauninām Wi-Fi drošības konfigurācijas mūsu produktos, lai palīdzētu jums būt drošībā; visi atjauninājumi tiks publicēti šajās lapās. Canon vēlas pateikties REDTAM.PL par norādīšanu uz paroles drošības izmaiņām un šādu izmaiņu ietekmi uz tirgu.

imageRUNNER ADVANCE programmatūras platformas versija 3.8 un vēlāk ieviestais Syslog protokols (atbilst RFC 5424, RFC 5425 un RFC 5426) nodrošina gandrīz reāllaika notikuma ziņojumapmaiņas funkciju, kas papildina pašreizējo pieteikšanos ierīcē, palielina ierīces un ierīces drošības notikumu redzamību. Tā pamatā ir ierīces esošās iespējas reģistrēt notikumus, un tas ļauj izveidot savienojumu ar esošu drošības informācijas notikumu pārvaldības sistēmu (SIEM) vai Syslog serveri. Dokumentā SIEM_spec ir sniegta informācija par ziņojumu veidiem un žurnāla datiem, kurus var ģenerēt.

VxWorks operētājsistēmā ir konstatētas vienpadsmit ievainojamības jeb “URGENT/11” (CVE-2019-12255 līdz CVE-2019-12265). IPnet TCP/IP steks, ko izmanto VxWorks operētājsistēmā, ir izmantota arī citās reāllaika operētājsistēmās, un tas paver iespēju ievainojamībām (CVE-2019-12255, CVE-2019-12262 un CVE-2019-12264) pastāvēt plašākā produktu klāstā.

Pret šo problēmu uzņēmīgi var būt vairāki mantotie Eiropas modeļi, jo ir identificēts, ka tie izmanto ietekmēto IPnet TCP/IP steku:

• i-SENSYS MF4270
• i-SENSYS MF4370dn
• i-SENSYS MF4380dn
• imageRUNNER 2318
• imageRUNNER 2318L
• imageRUNNER 2320
• imageRUNNER 2420
• imageRUNNER 2422

Paldies, ka izmantojat Canon produktus.

Starptautiska drošības pētnieku komanda ir pievērsusi uzmanību ievainojamībai, kas saistīta ar saziņu, izmantojot attēlu pārsūtīšanas protokolu, ko lieto Canon digitālās kameras, kā arī programmaparatūras atjauninājumu ievainojamībai.

(CVE-ID:CVE-2019-5994, CVE-2019-5995, CVE-2019-5998, CVE-2019-5999, CVE-2019-6000, CVE-2019-6001）

Šo ievainojamību dēļ trešajai pusei pastāv iespēja uzbrukt kamerai, ja kamera ir savienota ar datoru vai mobilo ierīci, kas ir “nolaupīta” (hijacked), izmantojot neaizsargātu tīklu.

Līdz šim nav apstiprināts, ka šīs ievainojamības gadījumi ir tikuši izmantoti, lai radītu kaitējumu, bet, lai nodrošinātu, ka mūsu klienti var droši izmantot mūsu produktus, mēs vēlamies informēt par vairākiem šīs problēmas risinājumiem.

• Nodrošiniet, ka ar kameru savienotās ierīces, piemēram, dators, mobilā ierīce un maršrutētājs, ir piemēroti ar drošību saistītiem iestatījumiem.
• Nesavienojiet kameru ar datoru vai mobilo ierīci, kas tiek izmantota nedrošā tīklā, piemēram, bezmaksas Wi-Fi vidē.
• Nepievienojiet kameru datoram vai mobilajai ierīcei, kas varētu būt pakļauta datorvīrusam.
• Atspējojiet kameras tīkla funkcijas, kad tās netiek izmantotas.
• Lai veiktu kameras programmaparatūras atjaunināšanu, lejupielādējiet oficiālo Canon tīmekļa vietni.

Aizvien biežāk datori un mobilās ierīces tiek lietotas nedrošā (bezmaksas Wi-Fi) tīkla vidē, kur klienti nezina par tīkla drošību. Tā kā ir izplatīts paradums pārsūtīt attēlus no kameras uz mobilo ierīci, izmantojot Wi-Fi savienojumu, mēs ieviesīsim programmaparatūras atjauninājumus tālāk norādītajiem modeļiem, kas ir aprīkoti ar Wi-Fi funkciju.

Šīs ievainojamības ietekmē norādītās EOS sērijas digitālās SLR un bezspoguļu kameras.

EOS-1DC*1 *2	EOS 6D Mark II	EOS 760D	EOS M6 Mark II	PowerShot SX740 HS
EOS-1DX*1 *2	EOS 7D Mark II*1	EOS 800D	EOS M10
EOS-1DX MK II*1 *2	EOS 70D	EOS 1300D	EOS M50
EOS 5D Mark III*1	EOS 77D	EOS 2000D	EOS M100
EOS 5D Mark IV	EOS 80D	EOS 4000D	EOS R
EOS 5DS*1	EOS 200D	EOS M3	EOS RP
EOS 5DS R*1	EOS 250D	EOS M5	PowerShot G5X Mark II
EOS 6D	EOS 750D	EOS M6	PowerShot SX70 HS

^*1 Ja tiek izmantots Wi-Fi adapteris vai bezvadu failu raidītājs, var izveidot Wi-Fi savienojumu.

^*2 Šīs ievainojamības ietekmē arī Ethernet savienojumu.

Katram produktam tiks nodrošināta programmaparatūras atjaunināšana, sākot no tiem produktiem, kam sagatavošanas darbi ir pabeigti.

Norādījumi par ātro kļūdas labojuma instalēšanu pieejami šeit. 

Mēs esam apņēmušies piedāvāt drošus risinājumus klientiem un atvainojamies par sagādātajām neērtībām. Ja jums nepieciešama papildinformācija par šo ieteikumu, sazinieties ar vietējo Canon biroju, pilnvaroto tālākpārdevēju vai Canon atbalsta pārstāvi. Ja pamanāt aizdomīgas darbības, nekavējoties ziņojiet par tām savam konta pārvaldniekam un IT nodaļai.

Nesen pētnieki ziņoja par ievainojamībām, kas konstatētas noteiktu produktu faksa funkciju komunikācijas protokolos. (CVE-ID: CVE-2018-5924, CVE 2018-5925) Informāciju par šo ievainojamības ietekmi uz Canon produktiem, kam ir faksa funkcijas, skatiet tālāk.

Šī ievainojamība izmanto krāsu G3 faksa protokolu; tāpēc, kā liecina mūsu pārskats, nav ietekmēti šādi produkti: imageRUNNER/iR, imageRUNNER ADVANCE, LASER CLASS, imagePRESS, FAXPHONE, GP un imageCLASS/i-SENSYS sērijas modeļi, kas aprīkoti ar faksa funkciju.

MAXIFY un PIXMA sērijas produkti, kas aprīkoti ar faksa funkciju, izmanto krāsu G3 faksa protokolu. Tomēr mēs neesam identificējuši risku, ka, izmantojot faksa sistēmu, tiktu izpildīts ļaunprātīgs kāds vai ka būtu apdraudēta šajās ierīcēs saglabātā informācija.

Mēs turpināsim uzraudzīt šo situāciju un attiecīgi rīkosimies, lai palīdzētu nodrošināt mūsu ierīču drošību.

Nesen tika atklātas ievainojamības attiecībā uz noteiktiem Intel, AMD un ARM procesoriem, kas izmanto spekulatīvu izpildi, lai uzlabotu to veiktspēju. Šīs ievainojamības dēļ uzbrucējs var iegūt nesankcionētu piekļuvi privātā kešatmiņā saglabātiem apgabaliem.

Ir identificēti un nosaukti divi ievainojamības varianti, kas izmanto dažādus paņēmienus, lai izmantotu ietekmēto procesoru spekulatīvās izpildes funkcijas. Tie ir CVE-2017-5715, CVE-2017-5753: “Spectre” un CVE-2017-5754: “Meltdown”.

Šīs ievainojamības var skart norādītos Canon ārējos kontrollerus. Lai gan pašlaik nav zināms veids, kā izmantot šīs ievainojamības, pretpasākumi tiek gatavoti tā, lai klienti varētu turpināt izmantot mūsu produktus bez bažām.

ColorPASS: 
GX300 v2.0, GX300 v2.1, GX400 v1.0, GX500 v1.1

imagePASS: 
U1 v1.1, U1 v1.1.1, U2 v1.0 
Y1 v1.0, Y2 v1.0

imagePRESS-CR Server: 
A7000 v2.1, A7000 v3.0, A7300 v1.0, A7500 v2.1, A8000 v1.1

imagePRESS Server: 
A1200 v1.0, A1200 v1.1, A1300 v1.0, A2200 v1.0, A2200 v1.1, A2300 v1.0, A3200 v1.0, A3200 v1.1, A3300 v1.0 
B4000 v1.0, B4100 v1.0, B5000 v1.0, B5100 v1.0 
F200 v1.21, H300 v1.0 
J100 v1.21, J200 v1.21 
K100 v1.0, K200 v1.0 
Q2 v2.0, Z1 v1.0

Šīs ievainojamības var skart norādītos Canon pakalpojumus. Lai gan pašlaik nav zināms veids, kā šīs ievainojamības varētu izmantot, līdz 2018. gada februāra beigām tika ieviesti pretpasākumi.

Pakalpojums MDS Cloud

Nav zināmi gadījumi, kad minētās ievainojamības būtu izmantotas, turklāt šīs ievainojamības skar tikai norādītos Canon daudzfunkcionālos printerus un Canon lāzerprinterus un ar tiem saistītos programmatūras produktus. Klienti var turpināt lietot mūsu produktus.

Canon pastāvīgi strādā, lai nodrošinātu visaugstāko drošības līmeni visiem mūsu produktiem un risinājumiem. Mēs nopietni uztveram mūsu klientu informācijas drošību, un tās aizsardzība ir mūsu galvenā prioritāte.

Nesen kāds pētnieks informēja par ievainojamību, kas zināma kā KRACKs, standarta bezvadu LAN (Wi-Fi) šifrēšanas protokolā WPA2. Šī ievainojamība ļauj uzbrucējam tīši pārtvert bezvadu pārraidi starp klientu (termināli ar Wi-Fi funkcionalitāti) un piekļuves punktu (maršrutētāju u. c.), lai veiktu potenciāli ļaunprātīgas darbības. Tāpēc šo ievainojamību var izmantot tikai tādas personas, kas atrodas Wi-Fi signāla diapazonā vai kas atrodas attāli, bet starpniecībai izmanto internetu. 

Mums vēl jāpārliecinās, vai šīs ievainojamības dēļ Canon produktu lietotāji ir sastapušies ar problēmām, bet, lai mūsu klienti varētu turpināt izmantot mūsu produktus droši, iesakām veikt tālāk norādītos preventīvos pasākumus. 
• Izmantojiet USB kabeli vai Ethernet kabeli, lai tieši savienotu saderīgas ierīces ar tīklu. 
• Šifrējiet datu pārraidi no ierīcēm ar iespējotiem šifrēšanas iestatījumiem (TLS/IPSec). 
• Saderīgās ierīcēs izmantojiet tādu fizisku datu nesēju kā SD karte. 
• Saderīgās ierīcēs izmantojiet tādus iestatījumus kā bezvadu tiešsavienojums un tiešsavienojums.

Tā kā piedāvātās darbības procedūras un funkcijas dažādām ierīcēm atšķiras, sīkāku informāciju skatiet ierīces rokasgrāmatā. Iesakām arī veikt atbilstošus pasākumus tādām ierīcēm kā dators vai viedtālrunis. Lai iegūtu informāciju par katrai ierīcei atbilstošajiem pasākumiem, sazinieties ar ierīces ražotāju.

Mēs esam informēti par ziņu rakstiem par University Alliance Ruhr pētījumu, kurā vērtēta potenciāla tīkla printeru ievainojamība, ko rada mūsu nozarē plaši izmantotā PostScript programmēšanas valoda. Pētījumā netika testēta neviena Canon ierīce.

Canon pastāvīgi strādā, lai nodrošinātu visaugstāko drošības līmeni visos mūsu produktos un risinājumos, tostarp tīkla printeros. Mēs nopietni uztveram mūsu klientu informācijas drošību, un tās aizsardzība ir mūsu galvenā prioritāte. Mūsu multifunkcionālo ierīču drošības ceļvedis sniedz skaidrojumus un padomus labākajiem konfigurācijas iestatījumiem un drošai uzstādīšanai.

Tālāk ir sniegta informācija par konkrētu Canon produktu drošības pasākumiem un iestatīšanas procedūrām. Šī informācija ir pieejama tikai angļu valodā.

Strūklprinteri (PIXMA sērija) un biznesa klases strūklprinteri (MAXIFY sērija)	Lielformāta strūklprinteri (imagePROGRAF sērija)	Lāzerstara printeri un mazas biroja daudzfunkciju iekārtas (LBP un MF sērija)	Daudzfunkciju printeri birojiem un ražošanas drukāšanai (imageRUNNER, imageRUNNER ADVANCE, imagePRESS sērija)
Tīkla kameras (angļu valodā)	Multifunkcionālo ierīču drošības ceļvedis	Tīkla skeneri (imageFORMULA sērija)	Canon imageRUNNER drošības matrica
Canon ierīču drošības pārskats	imageRUNNER ADAVANCE un imageRUNNER ADVANCE DX drošības baltās grāmatas	SIEM_spec (imageRUNNER ADVANCE)	ColorWave un PlotWave SMARTShield drošības baltā grāmata

Canon pievērš vislielāko uzmanību informācijas drošībai un vienmēr aizsargā rakstiskas, mutiskas un elektroniskas informācijas konfidencialitāti, integritāti un pieejamību:

• konfidencialitāte — nodrošināt, ka informācija ir pieejama tikai tiem, kuriem ir atļauts tai piekļūt;
• integritāte — nodrošināt informācijas un apstrādes metožu precizitāti un pilnīgumu;
• pieejamība — nodrošināt, ka autorizētiem lietotājiem ir piekļuve informācijai, kad tas ir nepieciešams.

ISO 27001 sertifikācija apliecina, ka Canon Europe ir ieviesis sistēmas uzņēmumu informācijas un datu aizsardzībai neatkarīgi no tā, vai šī informācija un dati ir tiešsaistē vai bezsaistē. ISO 27001 apliecina, ka Canon Europe drošības procesus no izstrādes līdz piegādei ir novērtējuši ārēji eksperti un ka šie procesi ir saņēmuši trešās puses atzinumu saskaņā ar starptautiski atzītu standartu.

	Canon Eiropā saņēmis ISO 27001 sertifikātu par informācijas drošības pārvaldības sistēmu, apliecinot klientiem, ka mēs stingri ievērojam pasaules līmeņa standartus. Šajā standartā ir iekļauti visi informācijas drošības aspekti, sākot no risku un auditu pārvaldības līdz produktu drošībai un negadījumu novēršanai.

Mūsu informācijas drošības pārvaldības sistēma attiecas uz tālāk norādītajām jomām.

• Drošības politika
• Informācijas drošības organizācija
• Aktīvu pārvaldība
• Cilvēkresursu drošība
• Fiziskā un vides drošība
• Komunikācijas un operāciju pārvaldība
• Piekļuves kontrole
• Informācijas sistēmu iegūšana, izstrāde un uzturēšana
• Informācijas drošības incidentu pārvaldība
• Darbības nepārtrauktības pārvaldība
• Atbilstība normatīvajām prasībām

Canon EMEA Produktu drošības incidentu reaģēšanas grupa ir daļa no globālās Canon Produktu drošības incidentu reaģēšanas grupas un reaģē uz ievainojamībām, kas saistītas ar Canon EMEA produktiem, sistēmām un pakalpojumiem. Mēs ievērojam nozares paraugpraksi, lai uzlabotu produktu drošības līmeni un piedāvātu klientiem drošus produktus.

Canon EMEA Produktu drošības incidentu reaģēšanas grupa atzinīgi vērtē informāciju, kas saistīta ar produktu iespējamu ievainojamību, un mēs šādu informāciju apstrādājam saskaņā ar mūsu ievainojamības atklāšanas politiku.

Ja uzskatāt, ka esat atklājis Canon produkta drošības problēmu, vai vēlaties ziņot par drošības incidentu, sazinieties ar Canon EMEA produktu drošības incidentu reaģēšanas dienestu, rakstot uz e-pasta adresi product-security@canon-europe.com vai izmantojot mūsu produktu ievainojamības ziņojuma veidlapu. Detalizēti aprakstiet drošības problēmu, norādiet precīzu produkta nosaukumu, programmatūras versiju un problēmas būtību. Norādiet arī e-pasta adresi un tālruņa numuru, lai varam ar jums sazināties, ja mums vajadzēs papildu informāciju.

Ņemiet vērā, ka šī e-pasta adrese un veidlapa ir paredzēta tikai ziņošanai par produktu drošības problēmām, nevis vispārīga atbalsta pieprasīšanai. Lai saņemtu palīdzību saistībā ar jebkuru citu produktu problēmu, apmeklējiet mūsu atbalsta lapas.

Canon EMEA informācijas drošības komanda ir apņēmusies aizsargāt Canon klientus un darbiniekus. Tāpēc mēs aicinām drošības pētniekus palīdzēt aizsargāt Canon un proaktīvi ziņot par drošības ievainojamībām un trūkumiem. Par saviem atradumiem varat ziņot, rakstot uz e-pasta adresi: appsec@canon-europe.com

Darbības jomas domēni

Šis ir to domēnu saraksts, kas ir iekļauti Canon ievainojamības atklāšanas politikā.

*.canon-europe.com	*.canon.nl
*.canon.co.uk	*.canon.com.tr
*.canon.com.de	*.canon.com.sa
*.canon.com.ae	*.canon.com.jp
*.canon.com.ca	*.canon.no
*.canon.es	*.canon.se
*.canon.pl	*.canon.be
*.canon.pt	*.canon.it
*.canon.dk	*.canon.ch
*.canon.fi	*.canon.at
*.canon.fr	*.canon.ie
*.uaestore.canon.me.com

Jūs varat ziņot par ievainojamībām, rakstot uz e-pasta adresi: appsec@canon-europe.com. Vēstulē pēc iespējas skaidrāk un detalizētāk norādiet, kādu ievainojamību esat konstatējis, kā arī sniedziet iespējamos pierādījumus. Atcerieties, ka šo ziņojumu pārskatīs Canon drošības speciālisti. Vēstulē noteikti iekļaujiet šādu informāciju:

• ievainojamības veids;
• secīgi norādījumi par to, kā atkārtot ievainojamību;
• izmantotā pieeja;
• pilnīgs URL;
• potenciāli iesaistītie objekti (filtri vai ievades lauki);
• ekrānuzņēmumi (ļoti ieteicams).
• Ziņojumā par ievainojamību norādiet savu IP adresi. Tā tiks izmantota konfidenciāli, lai izsekotu jūsu testēšanas aktivitātes un pārskatītu mūsu žurnālus.

Mēs nepieņemam automātisku programmatūras skeneru rezultātus.

Mēs nepieņemam šādus ziņojumus:

• Volumetriskā / pakalpojumatteices (DoS) ievainojamība (t.i., vienkārši mūsu pakalpojumu pārpludināšanu ar lielu pieprasījumu apjomu)
• TLS konfigurācijas trūkumi (piemēram, “vājš“ šifru komplekta atbalsts, TLS1.0 atbalsts, sweet32 utt.)
• Problēmas, kas saistītas ar tādu e-pasta adrešu verifikāciju, kuras izmanto, lai izveidotu myid.canon lietotāju kontus
• Starpvietņu pašskriptēšana
• Jaukta satura skripti vietnē www.canon.*
• Nedroši sīkfaili vietnē www.canon.*
• CSRF un CRLF uzbrukumi, ja radītā ietekme ir minimāla
• HTTP resursdatora galvenes starpvietņu skriptēšanu bez pierādījumiem
• Nepilnīgs/trūkstošs SPF/DMARC/DKIM
• Sociālās inženierijas uzbrukumi
• Drošības kļūdas trešo pušu tīmekļa vietnēs, kurās ir integrētas Canon tīmekļa vietnes
• Tīkla datu uzskaitīšanas metodes (piemēram, baneru satveršana, publiski pieejamas serveru diagnostikas lapas)
• Apgalvojumi, ka mūsu pakalpojumi pilnībā neatbilst labākajai praksei

Canon informācijas drošības eksperti izpētīs jūsu ziņojumu un sazināsies ar jums 5 darba dienu laikā. 

Jūsu privātums

Mēs izmantosim jūsu personas datus tikai, lai rīkotos saskaņā ar jūsu ziņojumu. Mēs nekopīgosim jūsu personas datus ar citiem bez jūsu skaidras atļaujas.

Potenciāli nelikumīgas darbības

Atklājot ievainojamību un izmeklējot to, jūs, iespējams, varat veikt ar likumu aizliegtas darbības. Ja ievērosiet tālāk izklāstītos noteikumus un principus attiecībā uz ziņošanu par trūkumiem mūsu IT sistēmās, mēs neziņosim par jūsu pārkāpumu un neiesniegsim prasību.

Tomēr ir svarīgi, lai jūs zinātu, ka par izmeklēšanas vešanu pret jums lēmumu pieņem prokuratūra (nevis CANON), pat tad ja par nodarījumu neesam ziņojuši mēs. Tas nozīmē, ka mēs nevaram garantēt, ka pret jums netiks vērsta izmeklēšana, ja jūs, izmeklējot ievainojamību, veicat noziedzīgu nodarījumu.

Drošības un tieslietu ministrijas Nacionālais Kiberdrošības centrs ir izstrādājis vadlīnijas, kā ziņot par IT sistēmu ievainojamībām. Mūsu noteikumi balstās uz šīm pamatnostādnēm. (https://english.ncsc.nl/)

Vispārējie principi

Uzņemieties atbildību un rīkojieties ārkārtīgi uzmanīgi un piesardzīgi. Veicot izmeklēšanu, izmantojiet tikai tās metodes un paņēmienus, kas ir nepieciešami, lai atrastu vai pierādītu ievainojamību.

• Izmantojiet atklāto ievainojamību tikai savas izmeklēšanas vešanā, nevis citiem mērķiem.
• Neizmantojiet sociālo inženieriju, lai piekļūtu sistēmai.
• Neizstrādājiet aizmugurisku pieeju pat ne tādēļ, lai pierādītu sistēmas ievainojamību. Aizmuguriska pieeja vājinās sistēmas drošību.
• Nemainiet un neizdzēsiet sistēmā esošo informāciju. Ja ir jānokopē informācija izmeklēšanas vešanai, nekad nekopējiet vairāk, nekā nepieciešams. Ja ar vienu ierakstu pietiek, pie tā arī palieciet.
• Nekādā veidā nepārveidojiet sistēmu.
• Iekļūstiet sistēmā tikai tad, ja tas ir absolūti nepieciešams. Ja jums izdodas iefiltrēties sistēmā, nedalieties ar piekļuvi.
• Lai piekļūtu sistēmām, neizmantojiet brutālu spēka tehniku, piemēram, atkārtoti ievadot paroles.
• Nelietojiet pakalpojumatteices (DoS) uzbrukumus, lai iegūtu piekļuvi.

Vai saņemšu atlīdzību par veikto izmeklēšanu?

Nē, jums nepienākas nekāda kompensācija.

Vai drīkstu publicēt konstatētos trūkumus un savu izmeklēšanu?

Nekad nepublicējiet informāciju par Canon IT sistēmu trūkumiem vai savu izmeklēšanu, iepriekš nekonsultējoties ar mums pa e-pastu: appsec@canon-europe.com. Mēs varam sadarboties, lai novērstu, ka noziedznieki jūsu informāciju izmanto ļaunprātīgi. Konsultējieties ar mūsu informācijas drošības komandu, lai varam sadarboties informācijas publicēšanā.

Vai varu ziņot par ievainojamību anonīmi?

Jā. Ziņojot par ievainojamību, nav jānorāda savs vārds vai kontaktinformācija. Taču mēs nevarēsim ar jums sazināties par papildu pasākumiem, piemēram, par to, ko mēs darām saistībā ar jūsu ziņojumu vai turpmāko sadarbību.

Kam šī e-pasta adrese nav paredzēta?

E-pasta adrese: appsec@canon-europe.com nav paredzēta šādiem mērķiem:

• lai iesniegtu sūdzību par Canon produktiem vai pakalpojumiem;
• lai iesniegtu jautājumus vai sūdzības par Canon tīmekļa vietņu pieejamību;
• lai ziņotu par krāpšanu vai aizdomām par krāpšanu;
• lai ziņotu par krāpnieciskām e-pasta vēstulēm vai pikšķerēšanas vēstulēm;
• lai ziņotu par vīrusiem.