Lexmark

Bestimmte Lexmark-Geräte mit Firmware-Stand bis 2023-02-19 greifen über einen inkompatiblen Typ auf eine Ressource zu. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung ausnutzbar. Empfohlene Massnahme: betroffene Geräte auf einen gefixten Firmware-Stand aktualisieren.

Bestimmte Lexmark-Geräte bis zum Stand 2023-02-19 weisen einen Schreibzugriff ausserhalb der Speichergrenzen (Out-of-bounds Write) auf. CVSS-Basiswert: 9.8 (Kritisch). Weitere technische Details oder eine konkrete Massnahme sind den Quelldaten nicht zu entnehmen.

Bestimmte Lexmark-Geräte bis zum Stand 2023-02-19 weisen einen Integer Overflow auf. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 9.8 (Kritisch).

Bestimmte Lexmark-Geräte bis zum Stand 2023-02-19 weisen eine fehlerhafte Validierung eines Array-Index auf. CVSS-Basiswert: 9.8 (Kritisch).

Bestimmte Lexmark-Geräte behandeln bis zum 19.02.2023 die Eingabevalidierung fehlerhaft. Laut Quelle handelt es sich um eines von vier gemeldeten Problemen dieser Art. CVSS-Basiswert: 9.8 (Kritisch).

Bestimmte Lexmark-Geräte (Stände bis 2023-02-19) behandeln die Eingabevalidierung fehlerhaft (laut Quelle Problem 3 von 4). CVSS-Basiswert: 9.8 (Kritisch).

Bestimmte Lexmark-Geräte (Stände bis 2023-02-19) behandeln die Eingabevalidierung fehlerhaft. Die Quelle weist die Schwachstelle als eines von vier verwandten Eingabevalidierungs-Problemen aus. CVSS-Basiswert: 9.8 (Kritisch).

In bestimmten Lexmark-Produkten (bis 2023-01-12) kann aufgrund fehlender Eingabevalidierung eine Server-Side Request Forgery (SSRF) auftreten. CVSS-Basiswert: 9.8 (Kritisch). Betroffen ist Lexmark.

Eine unzureichende Eingabebereinigung im eingebetteten Webserver von Lexmark-Geräten (Stände bis 2021-12-07) kann zur Ausführung von beliebigem Code aus der Ferne auf dem Gerät führen. CVSS-Basiswert: 9.8 (Kritisch).

In Lexmark-Geräten (Stände bis 2021-12-07) besteht eine Command-Injection-Schwachstelle im eingebetteten Webserver. Ein Angreifer kann darüber Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch).

Der Assistent zur Ersteinrichtung des Admin-Kontos auf Lexmark-Geräten erlaubt unauthentifizierten Zugriff auf die Funktion out of service erase. CVSS-Basiswert: 9.8 (Kritisch). Betroffen ist Lexmark.

In Lexmark-Geräten mit Firmware-Stand bis 2021-12-07 wurde eine Buffer-Overflow-Schwachstelle im PostScript-Interpreter festgestellt. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung ausnutzbar. Empfohlene Massnahme: betroffene Geräte auf einen gefixten Firmware-Stand aktualisieren.

In Lexmark Markvision Enterprise (MVE) vor Version 2.4.1 können entfernte Angreifer durch das Hochladen von Dateien beliebige Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch). Betroffen ist Lexmark. Empfohlene Massnahme: Aktualisierung auf Version 2.4.1 oder höher.

Eine Directory-Traversal-Schwachstelle im GfdFileUploadServerlet-Servlet von Lexmark MarkVision Enterprise vor Version 2.1 erlaubt entfernten Angreifern das Schreiben in beliebige Dateien über nicht näher spezifizierte Vektoren. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf MarkVision Enterprise 2.1 oder neuer aktualisieren.

Mehrere Lexmark-Produkte weisen eine fehlerhafte Zugriffskontrolle auf. CVSS-Basiswert: 9.1 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung ausnutzbar. Empfohlene Massnahme: betroffene Geräte auf einen aktuellen Firmware-Stand aktualisieren.

Mehrere Lexmark-Produkte enthalten einen Integer Overflow. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Empfohlene Massnahme: betroffene Geräte auf einen aktuellen Firmware-Stand aktualisieren.

Mehrere Lexmark-Produkte weisen einen Pufferüberlauf auf (laut Quelle Teil 2 von 3). CVSS-Basiswert: 9.8 (Kritisch). Über die Datenlage hinaus nennt die Quelle keine weiteren technischen Details oder eine konkrete Massnahme.

Verschiedene Lexmark-Produkte weisen einen Pufferüberlauf auf (Ausgabe 3 von 3). Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 9.8 (Kritisch).

Verschiedene Lexmark-Geräte weisen einen Pufferüberlauf auf (Problem 1 von 2). CVSS-Basiswert: 9.8 (Kritisch).

Mehrere Lexmark-Geräte enthalten einen Pufferüberlauf (Buffer Overflow). Laut Quelle handelt es sich um eines von zwei gemeldeten Problemen dieser Art. CVSS-Basiswert: 9.8 (Kritisch).

Lexmark Scan To Network (SNF) 3.2.9 und früher speichert die Zugangsdaten der Netzwerkkonfiguration im Klartext und überträgt sie in Anfragen. Ein entfernter Angreifer kann so über Anfragen an die Servlets snfDestServlet oder ImportExportServlet an sensible Informationen gelangen. CVSS-Basiswert: 9.8 (Kritisch).

Im Bzip2-Parser der Konvertierungsfunktion der Lexmark Perspective Document Filters besteht ein ausnutzbarer Out-of-Bounds-Write. Ein präpariertes Bzip2-Dokument kann einen stapelbasierten Pufferüberlauf auslösen, der unter geeigneten Umständen von einem Angreifer zur Ausführung beliebigen Codes missbraucht werden könnte. CVSS-Basiswert: 9.8 (Kritisch).

Eine Race Condition im Initialisierungsprozess bestimmter Lexmark-Drucker mit Firmware ATL vor ATL.02.049, CB vor CB.02.049, PP vor PP.02.049 und YK vor YK.02.049 erlaubt entfernten Angreifern, die Authentifizierung zu umgehen, indem der Status des Sicherheits-Jumpers falsch erkannt wird. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Firmware auf die genannten oder neuere Versionen aktualisieren.

Das Servlet LibraryFileUploadServlet in Lexmark Markvision Enterprise ist anfällig für Directory Traversal. Authentifizierte Angreifer können über einen Pfad mit .. in einem ZIP-Archiv beliebige Dateien schreiben und ausführen. CVSS-Basiswert: 9 (Kritisch).

Bei einer Reihe von Lexmark-Druckern erlaubt das CGI-Skript config.html nicht authentifizierten Angreifern aus der Ferne, das administrative Passwort über den Parameter vac.255.GENPASSWORD zu entfernen. Betroffen sind zahlreiche Modellreihen unterhalb bestimmter Firmware-Stände (u. a. X94x, X85x, X64x, W840, T64x, C9xx, C7xx, C5xx sowie E250/E350/E450). CVSS-Basiswert: 10 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung ausnutzbar. Empfohlene Massnahme: betroffene Geräte auf einen gefixten Firmware-Stand aktualisieren.

Lexmark Markvision Enterprise vor Version 1.8 stellt auf TCP-Port 9789 eine Diagnoseschnittstelle bereit, über die entfernte Angreifer beliebigen Code ausführen, die Konfiguration ändern oder sensible Informationen zum Flottenmanagement abrufen können. CVSS-Basiswert: 9.3 (Kritisch). Betroffen ist Lexmark.

Bestimmte Lexmark-Geräte (etwa CS310) vor 2023-08-25 erlauben XXE-Angriffe, die zu einem Informationsabfluss führen. Die korrigierte Firmware trägt die Kennung LW80.*.P246; ab Firmware-Stand P246 (oder höher) ist die Schwachstelle behoben. CVSS-Basiswert: 7.5 (Hoch). Betroffen ist Lexmark. Empfohlene Massnahme: Firmware auf Stand P246 oder höher aktualisieren.

Bestimmte Lexmark-Geräte bis zum Stand 2023-02-19 behandeln die Eingabevalidierung fehlerhaft (Ausgabe 1 von 4). Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 8.1 (Hoch).

Bestimmte Lexmark-Produkte (Stände bis 2023-01-10) begrenzen die Interaktionsfrequenz unzureichend (Improper Control of Interaction Frequency). CVSS-Basiswert: 7.5 (Hoch).

Mehrere Lexmark-Produkte bis zum Stand 2022-04-27 erlauben einem Angreifer, der ein betroffenes Lexmark-Gerät bereits kompromittiert hat, seine Präsenz über Neustarts hinweg aufrechtzuerhalten. CVSS-Basiswert: 8.1 (Hoch).

Mehrere Lexmark-Produkte bis zum Stand 2022-02-10 weisen eine fehlerhafte Zugriffskontrolle (Incorrect Access Control) auf. CVSS-Basiswert: 7.5 (Hoch). Weitere technische Details oder eine konkrete Massnahme nennt die Quelle nicht.

Eine PJL-Directory-Traversal-Schwachstelle in Lexmark-Geräten bis zum Stand 2021-12-07 kann ausgenutzt werden, um interne Konfigurationsdateien zu überschreiben. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 8.8 (Hoch).

Der Lexmark Universal Print Driver (Version 2.15.1.0 und älter), der G2-Treiber (2.7.1.0 und älter), der G3-Treiber (3.2.0.0 und älter) und der G4-Treiber (4.2.1.0 und älter) sind von einer Rechteausweitung betroffen. Ein niedrig privilegierter Standardnutzer kann den Treiber nutzen, um beim Hinzufügen eines Druckers eine selbst gewählte DLL auszuführen und so SYSTEM-Rechte zu erlangen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Treiber auf eine bereinigte Version aktualisieren.

Die Installationspakete der Lexmark Printer Software G2, G3 und G4 enthalten eine Schwachstelle zur lokalen Rechteausweitung, die auf einem Registry-Eintrag mit einem nicht in Anführungszeichen gesetzten Dienstpfad beruht. CVSS-Basiswert: 7.8 (Hoch).

Bestimmte ältere Lexmark-Geräte (Serien C, M, X sowie 6500e vor 2018-12-18) enthalten eine Directory-Traversal-Schwachstelle im eingebetteten Webserver. CVSS-Basiswert: 7.5 (Hoch). Betroffen ist Lexmark.

Lexmark-Geräte der Reihen X, W, T, E, C, 6500e und 25xxN vor dem Stand 2011-11-15 erlauben Angreifern, an vertrauliche Informationen zu gelangen. Möglich wird dies über eine versteckte E-Mail-Adresse in einem Scan-To-Email-Kurzbefehl. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 7.5 (Hoch).

Lexmark Markvision Enterprise vor Version 2.3.0 verwendet die Apache Commons Collections Library fehlerhaft, was aufgrund unsicherer Java-Deserialisierung zur Ausführung von Code aus der Ferne führt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Markvision Enterprise 2.3.0 oder neuer.

Im ReportDownloadServlet von Lexmark MarkVision Enterprise vor Version 2.1 besteht eine Directory-Traversal-Schwachstelle, über die entfernte Angreifer beliebige Dateien über nicht näher spezifizierte Vektoren lesen können. CVSS-Basiswert: 7.5 (Hoch).

In Lexmark Services Monitor 2.27.4.0.39 (auf TCP-Port 2070) kann ein entfernter Angreifer über eine Directory-Traversal-Technik mit /../../../ bzw. ..%2F..%2F..%2F lokale Dateien des Host-Betriebssystems auslesen. CVSS-Basiswert: 7.5 (Hoch).

Verschiedene Lexmark-Drucker enthalten eine Denial-of-Service-Schwachstelle im SNMP-Dienst, die ausgenutzt werden kann, um das Gerät zum Absturz zu bringen. CVSS-Basiswert: 7.5 (Hoch).

In der PDF-Verarbeitung von Lexmark Perspective Document Filters 11.3.0.2400 und 11.4.0.2452 besteht eine Use-after-free-Schwachstelle. Ein manipuliertes PDF-Dokument kann ein Use-after-free auslösen und dadurch zur direkten Codeausführung führen. CVSS-Basiswert: 8.8 (Hoch). Betroffen ist Lexmark.

In der Bildrendering-Funktion von Lexmark Perceptive Document Filters 11.3.0.2400 besteht eine ausnutzbare Schwachstelle zur Codeausführung. Eine speziell gestaltete PDF-Datei kann einen Funktionsaufruf auf einem beschädigten DCTStream auslösen, sodass vom Angreifer kontrollierte Daten auf den Stack geschrieben werden. CVSS-Basiswert: 7.5 (Hoch). Betroffen sind Lexmark und LibreOffice (The Document Foundation), soweit sie die betroffenen Document Filters einsetzen.

In der XLS-Verarbeitung von Lexmark Perspective Document Filters besteht ein ausnutzbarer Pufferüberlauf. Ein manipuliertes XLS-Dokument kann einen stack-basierten Pufferüberlauf und dadurch entfernte Codeausführung auslösen. CVSS-Basiswert: 8.4 (Hoch). Betroffen sind Lexmark und The Document Foundation.

Im Compound-Binary-File-Format-Parser (CBFF) der Bibliothek Lexmark Perceptive Document Filters besteht ein ausnutzbarer Heap-Overflow. Eine speziell präparierte CBFF-Datei kann zur Codeausführung führen; ein Angreifer kann eine fehlerhafte Datei senden, um die Schwachstelle auszulösen. Betroffen sind Produkte von Lexmark und The Document Foundation. CVSS-Basiswert: 7.8 (Hoch).

Der eingebettete HTTP-Server zahlreicher Lexmark Laser- und Tintenstrahldrucker sowie MarkNet-Geräte (unter anderem X94x, W840, T656, N4000, E462, C935dn, 25xxN und weitere Modelle) erlaubt entfernten Angreifern, über einen fehlerhaften HTTP-Authorization-Header einen Denial of Service auszulösen (Anhalten des Betriebssystems). CVSS-Basiswert: 7.8 (Hoch).

Ein stack-basierter Pufferüberlauf in den Komponenten base, IPDS DLE, Forms DLE, Barcode DLE, Prescribe DLE und Printcryption DLE bestimmter Lexmark-Laserdrucker und -Multifunktionsgeräte erlaubt entfernten Angreifern die Ausführung beliebigen Codes oder das Auslösen eines Denial of Service (Gerät hängt). Ausgelöst wird die Lücke über ein überlanges Argument eines PJL-INQUIRE-Befehls. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 7.3 (Hoch).

Der Lexmark-X1185-Drucker erlaubt lokalen Benutzern die Erlangung von SYSTEM-Rechten: Über den Dialog Appearance und die Option zu zusätzlichen Skins wird ein Webbrowser gestartet, der mit SYSTEM-Rechten läuft. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Herstellerhinweise beachten und betroffene Software aktualisieren.

Eine nicht näher spezifizierte Schwachstelle im Dienst Lexmark Printer Sharing LexBce Server (LexPPS), möglicherweise in den Versionen 8.29 und 9.41, erlaubt Angreifern aus der Ferne die Ausführung beliebigen Codes über nicht spezifizierte Vektoren. CVSS-Basiswert: 7.5 (Hoch). Die Angaben beruhen auf einer vagen Erstveröffentlichung. Empfohlene Massnahme: Herstellerhinweise beachten und betroffene Software aktualisieren.

Mehrere Pufferüberläufe in den Druckertreiberprogrammen von Lexmark MarkVision erlauben lokalen Benutzern über lange Argumente an die Befehle cat_network, cat_paraller und cat_serial die Erlangung erhöhter Rechte. CVSS-Basiswert: 7.2 (Hoch).

In der Lexmark-Pro910-Tintenstrahlserie und weiteren, nicht mehr weitergeführten Produkten besteht eine Cross-Site-Scripting-Schwachstelle (XSS). CVSS-Basiswert: 5.4 (Mittel).