Sikkerhetsbulletin XRX fra Xerox

Transkript

1 Programvareoppdatering som retter opp svakhet i forbindelse med skript på tvers av nettsteder Bakgrunn Webserveren til produktene nedenfor har en vedvarende svakhet med hensyn til skript på tvers av nettsteder. Hvis denne svakheten utnyttes, kan ondsinnede webbrukere sette inn kode på websider som kan vises av andre brukere. Kunde- og brukerpassord er trygge. Denne svakheten ble rapportert til oss privat av Louhi Networks i Finland. Bortsett fra konseptbeviskoden som vi fikk av sikkerhetsforskeren, kjenner ikke Xerox til at kode som utnytter denne svakheten, finnes på Internett. Som en del av Xerox' kontinuerlige arbeid for å beskytte kunder finnes det kjørbare filer 1 eller binærfiler som inneholder nettverkskontrollerprogramvareversjonene som retter opp denne svakheten, for produktene som er oppført nedenfor. Disse løsningene er utformet slik at de kan installeres av kunden. Følg fremgangsmåtene nedenfor når du skal installere løsningene for å beskytte produktet mot mulige angrep via nettverket. Programvareløsningene er komprimert i en av seks kjørbare filer avhengig av produktet. Du får tilgang til dem via koplingene nedenfor eller via koblingene under denne bulletinen på Standard kjørbar fil for WorkCentre Standard binærfil for WorkCentre WorkCentre 7132 med kjørbar PostScript-fil -- WorkCentre 7132 med PostScript-binærfil -- Kjørbar fil for WorkCentre 7228/7235/ Binærfil for WorkCentre 7228/7235/ Disse løsningene er klassifisert som en kritisk oppdatering. Bidragsytere Xerox ønsker å takke Henri Lindberg, Louhi Networks, Finland ( som opprinnelig informerte oss om denne svakheten. Denne programvareløsningen gjelder for nettverkstilkoplede versjoner 2 av følgende produkter: WorkCentre Firmware Update Tool for Windows et verktøy for fastvareoppgradering som følger med programvareversjonen, og som gjør det mulig for kunden å installere programvareversjonen 2 Hvis dette produktet ikke er koplet til nettverket, er det ikke utsatt, og da er det ikke nødvendig å gjøre noe. 701P av 6

2 Løsning Installering av oppdatering Redigert: Installeringsinstruksjoner Navn på oppdateringsfil for WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip (selvutpakkende kjørbar fil) cert_p35_wc7228_7235_7245_bin.zip (binærfil for bruk med CentreWare Web) Navn på oppdateringsfil for WC 7132: cert_p35_wc7132-std_exec.zip (STD-versjon av selvutpakkende kjørbar fil) cert_p35_wc7132-std_bin.zip (STD-versjon av binærfil for bruk med CentreWare Web) cert_p35_wc7132-ps_exec.zip (PS-versjon av selvutpakkende kjørbar fil) cert_p35_wc7132-ps_bin.zip (PS-versjon av binærfil for bruk med CentreWare Web) For PS-versjonen for WC 7132 bruker du cert_`p35_wc7132-ps_exec.zip eller cert_p35_wc7132-ps_bin.zip For STD-versjonen for WC 7132 bruker du cert_p35_wc7132-std_exec.zip eller cert_p35_wc7132-std_bin.zip Hvis programvareversjonen er Kontroller-ROM Klar for oppdatering? Neste trinn: til under Ja Last inn oppdatering (se merknad 1 og 2 for WC 7132 under) Deretter: Kontroller-ROM viser nå: MERKNAD 1 for WC 7132: For WC 7132 må du først finne ut hvilken fil du må laste inn på maskinen. WC 7132 kan konfigureres som en PS-versjon eller en STD-versjon. Dette finner du ut ved å se tillegg A under. MERKNAD 2 for WC 7132: cert_p35_wc7132-std_exec.zip og cert_p35_wc7132-ps_exec.zip er selvutpakkende kjørbare filer. Hver kjørbar fil bruker Firmware Update Tool som beskrevet i tillegg B under. Installering fra CentreWare Web støttes ikke for dette produktet. Hvis du bruker CentreWare Web, må du ikke bruke EXE-filen. Bruk i stedet cert_p35_wc7132-std_bin.zip eller cert_p35_wc7132-ps_bin.zip. For WC 7228/7235/7245 bruker du WC7228_7235_7245_EXEC.zip eller cert_p35_wc7228_7235_7245_bin.zip (Se merknad 1 for WC 7228/7235/7245 under) Hvis programvareversjonen er Kontroller-ROM Klar for oppdatering? Neste trinn: til under Ja Last inn oppdatering (se merknad 1 for WC 7228/7235/7245 under) Deretter: Kontroller-ROM viser nå: MERKNAD 1 for WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip er en selvutpakkende kjørbar fil som bruker Firmware Update Tool som beskrevet i tillegg B under. Hvis du bruker CentreWare Web, må du ikke bruke EXE-filen. Bruk i stedet cert_p35_wc7228_7235_7245_bin.zip. 701P av 6

3 Installere oppdateringen Du må laste ned oppdateringen. Oppdateringen er pakket i ZIP-format. Last ned ZIP-filen fra angitt URL-adresse, og pakk ut innholdet på skrivebordet. Ikke prøv å åpne filen med filtypen DLM. Dette er selve oppdateringen, og den må lastes inn på maskinen slik den er. Metoder for å installere oppdateringen Denne oppdateringen og oppgraderingen (som de fleste andre typer programvare) skal installeres av kunden. Det er flere måter å gjøre dette. - Bruk den selvutpakkende kjørbare filen som bruker Firmware Update Tool. Se tillegg B. - Bruk XDM / CentreWare Web til å sende oppgraderings-/oppdateringsfiler til flere maskiner. Hvis du vil ha mer informasjon om denne metoden, ser du kundetipset "How to Upgrade, Patch or Clone Xerox Multifunction Devices" ( Tillegg A Hvordan finne ut om WC 7132 er konfigurert som PS eller STD: Det er viktig at du får tak i riktig oppgraderingsfil for maskinen. Slik finner du programvareversjonen: 1. Åpne nettleseren, skriv inn og TCP/IP-adressen til maskinen i adresse- eller plasseringsfeltet, og trykk deretter på [Enter]. 2. Klikk på kategorien [Egenskaper]. 3. Klikk på [Konfigurasjon]. 4. Rull ned til Programvare for å se kontrollerversjonen. Merk deg om kontroller-rom er oppført som Controller ROM eller Controller+PS ROM. Dette avgjør hvilken fil du må laste ned fra Xerox.com. Controller ROM krever at du laster ned STD-filen. Controller+PS ROM krever at du laster ned PS-filen. Tillegg B Bruke Firmware Update Tool (selvutpakkende EXE-fil): 1. Firmware Update Tool støttes bare for Windows-operativsystemer. Hvis du ikke har et Windows-operativsystem, kontakter du den lokale Xerox-representanten for å få dem til å laste inn oppdateringen. 2. Firmware Update Tool bruker Port Kontroller derfor at Port 9100 er aktivert på maskinen. Slik gjør du dette: a. Åpne nettleseren, og skriv inn og TCP/IP-adressen til maskinen i adresse- eller plasseringsfeltet i nettleseren. Trykk på [Enter]. b. Klikk på kategorien [Egenskaper]. c. Klikk på [Portstatus]. d. Kontroller at det er merket av for "Port 9100" (aktivert). Hvis ikke merker du av for dette alternativet og klikker på [Bruk] nederst på Internett-siden. 3. Før du fortsetter med oppgraderingen, kontrollerer du at maskinen ikke er i bruk. Dette inkluderer eventuelle jobber som pågår, og alle som programmerer en jobb på skjermen på maskinen. 4. Dobbeltklikk på EXE-filnavnet. Vinduet under vises. Når du har lest lisensavtalen, klikker du på [Agree] for å fortsette med installeringen. Hvis du oppgraderer en WC 7132, følger du instruksjonene i tillegg A over for å være sikker på at du velger riktig fil (PS eller STD). 701P av 6

4 5. Velg riktig skrivermodell fra listen i neste vindu. WC 7228/7235/7245 er oppført som WorkCentre 7228, WorkCentre 7235 og WorkCentre Kontroller at du velger riktig modell for maskinen. For WC 7132 velger du WorkCentre Kontroller at "Network (Port9100)" er valgt, og klikk på [Next]. 701P av 6

5 7. Velg "IPAddress Input", og skriv inn TCP/IP-adressen til maskinen. Trykk på [Next]. Hvis du velger feil skrivermodell i trinn 5 over, kan du ikke fortsette etter at du har klikket på [Next]. 8. Oppdateringen lastes inn på maskinen. Dette tar rundt 10 til 15 minutter. 701P av 6

6 9. Ikke klikk på noen knapper i Firmware Update Tool før vinduet "Firmware Update Result is Displayed Below" vises. Kontroller status for oppgraderingen ved å rulle til høyre for å bekrefte at maskinen ble oppdatert. Hvis oppgraderingen var vellykket, klikker du på [Finish] for å avslutte verktøyet. Hvis oppgraderingen var mislykket, kontrollerer du at du valgte riktig fil, at maskinen ikke var i bruk under oppgraderingen, og at nettverket fungerer som det skal. Hvis du fortsatt har oppgraderingsproblemer etter at du har kontrollert dette, kontakter du den lokale Xerox-representanten. Ansvarsfraskrivelse Informasjonen i denne produktbulletinen fra Xerox gis "slik den er", uten noen form for garanti. Xerox Corporation fraskriver seg alt ansvar, både uttrykt og underforstått, inkludert garantier om salgbarhet eller egnethet til et bestemt formål. Ikke under noen omstendigheter skal Xerox Corporation være ansvarlig for noen form for skade som oppstår ved at brukeren benytter eller ikke tar hensyn til informasjonen i denne produktbulletinen, inkludert direkte og indirekte skader, skader ved uhell, følgeskader, tap av fortjeneste eller spesielle skader, selv om Xerox Corporation har blitt informert om muligheten for slike skader. I noen land tillates ikke ansvarsfraskrivelser eller begrensning av ansvar for følgeskader, og i slike tilfeller gjelder ikke ovenstående begrensning. 701P av 6