🖨 Принтер — самый недооценённый сервер в компании. В веб-сервере GoAhead, который стоит в сотнях миллионов устройств, нашли три TLS-уязвимости

Коллеги, в каждом офисе есть сервер, который никто не обновлял с момента покупки. Обычно он ещё и печатает.

📌 ФАКТЫ (FoxIO, 27 октября)
GoAhead — ультракомпактный встраиваемый веб-сервер, зашитый в прошивки сотен миллионов устройств: сетевые принтеры и МФУ (HP, Canon, Brother, Ricoh), SOHO-маршрутизаторы, IP-АТС, камеры и промышленные контроллеры (PLC/SCADA)

CVE-2026-115881 (CVSS 9.1) — критический обход авторизации: встроенный обработчик mTLS принимает отозванные клиентские сертификаты из-за некорректной валидации списков отзыва (CRL/OCSP) в связке с OpenSSL (сборки от 3.4.5 до 6.1.0)

CVE-2026-115884 (CVSS 7.4) — обход проверки глубины цепочки доверия X.509 при сборке софта с отдельными версиями LibreSSL

Вектор без CVE (CVSS 5.9) — использование статических слабых параметров Диффи — Хеллмана (DH-группы 1024 бит и ниже) при согласовании шифров в TLS 1.2 со стеком Mbed TLS

Уязвимости устранены апстримом в GoAhead 6.1.1, но конечному оборудованию это не поможет, пока каждый конкретный вендор не пересоберёт и не выкатит собственную прошивку

По умолчанию mTLS отключён, поэтому уязвимость в первую очередь бьёт по enterprise-окружениям, где доступ к панели МФУ закрывали сертификатами

🛠 ПОИСК И ДЕТЕКТ GOAHEAD В ПОДСЕТЯХ
Bash

# 1. Быстрое сканирование подсети принтеров и IoT через nmap
nmap -p 80,443,8080,8443 -sV --script http-server-header 10.0.0.0/24 | \
  grep -B6 -iE 'goahead|goahead-webs'

# 2. Точечный баннер-граббинг подозрительного хоста
curl -skI https://10.0.0.50/ | grep -i '^server:'

# 3. Поиск устройств с включённой mutual TLS (mTLS) аутентификацией
echo | openssl s_client -connect 10.0.0.50:443 2>&1 | grep -i 'Acceptable client certificate CA names'

😅 ЖИЗНЕННОЕ
«Да кто будет взламывать МФУ на ресепшене, это же просто печать накладных!» — сетевой стек с правами root, паролем admin / 1234 и прошивкой от 2017 года в одном широковещательном домене с контроллером Active Directory.

«Патч выйдет в следующем квартале» — для моделей принтеров старше трёх лет следующий квартал обычно наступает никогда (End of Support).

💡 В ЧЁМ СУТЬ

Встраиваемый веб-интерфейс принтера — полноценная точка входа для закрепления в периметре и атак типа Man-in-the-Middle. Полагаться на вендорские обновления прошивок сетевой периферии бессмысленно: жизненный цикл прошивок у большинства производителей исчисляется парой лет.

Единственный рабочий рубеж обороны — сетевая изоляция:

Все МФУ, IP-телефоны и IoT выносятся в отдельный изолированный Printer/IoT VLAN.

Пользовательским рабочим станциям разрешается доступ только на порт печати (RAW 9100 / LPR 515 / IPP 631).

Доступ к HTTP/HTTPS веб-мордам администрирования принтеров — строго из доверенного Admin VLAN / подсети управления.

#security #iot #printers #network #юмор #sysadmin #admin_future