数十万台柯尼卡打印机存在通过物理访问方式的黑客攻击的漏洞

主要受影响的打印机是柯尼卡美能达 bizhub C3300i 和 C3350i 多功能打印机 (MFP)。
　　SEC Consult 发现，对目标设备的触摸屏终端具有物理访问权限的攻击者可以逃离沙箱并获得对底层操作系统的 root 访问权限。
　　分析导致发现了三个漏洞。其中一个被跟踪为 CVE-2022-29586，允许可以将外部 USB 键盘连接到打印机的攻击者逃脱终端中显示的常规用户界面。研究人员发现，界面的某些部分实际上是在“kiosk 模式”下运行的 Chromium 浏览器，可以通过按 F12 键来转义，从而打开开发者控制台。
　　由于这个 Chromium 实例以 root 权限运行——这个问题已被分配 CVE-2022-29587——攻击者可以获得提升的权限并滥用开发者控制台来读取和写入任意文件到系统。可以访问的文件包括以明文形式存储管理员密码的文件 (CVE-2022-29588)。