19.05.2025

BDU:2025-08974 (CVE-2025-3079) — уязвимость микропрограммного обеспечения принтеров и многофункциональных устройств Canon серии imageRUNNER ADVANCE imageRUNNER

По данным БДУ ФСТЭК России, по состоянию на 24.07.2025.

Высокий — 8.7/10 Устранена

Уязвимость микропрограммного обеспечения принтеров и многофункциональных устройств Canon серии imageRUNNER ADVANCE, imageRUNNER, imagePRESS V, imagePRESS, Satera связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Кого касается и что делать

Уязвимое ПО: imageRUNNER ADVANCE (Canon) — версии до 77.09, до 47.09, до 37.09, до 27.09, до 7.09; imageRUNNER (Canon); imagePRESS V (Canon) — версии до 17.09; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: canon.jp, canon.jp

Сведения об уязвимости

Идентификаторы	BDU:2025-08974 · CVE-2025-3079
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.7; CVSS 4.0 — 6.3; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N атака по сети, низкая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность
Вектор CVSS 4.0	AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N атака по сети, низкая сложность, нужны права администратора, без участия пользователя
Наименование ФСТЭК	Уязвимость микропрограммного обеспечения принтеров и многофункциональных устройств Canon серии imageRUNNER ADVANCE, imageRUNNER, imagePRESS V, imagePRESS, Satera, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю раскрыть защищаемую информацию
Даты	Опубликована: 24.07.2025 · Обновлена ФСТЭК: 24.07.2025 · Выявлена: 19.05.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-522 — недостаточная защита регистрационных данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации

Уязвимое ПО

imageRUNNER ADVANCE (Canon) — версии до 77.09, до 47.09, до 37.09, до 27.09, до 7.09 · микропрограммный код
imageRUNNER (Canon) — микропрограммный код
imagePRESS V (Canon) — до 17.09 · микропрограммный код
imagePRESS (Canon) — микропрограммный код
Satera (Canon) — версии до 8.16, до 7.09 · микропрограммный код

Возможные меры по устранению уязвимости

Обновление. Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам
ограничение доступа из внешних сетей (Интернет)
отключение/ограничение функции удаленного управления для предотвращения попыток эксплуатации уязвимости (например, запрет использования незащищенных протоколов, таких как HTTP или Telnet)
соблюдение парольной политики принятой для организации доступа к устройству
сегментирование сети для ограничения доступа к уязвимому устройству
использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей
использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
canon.jp/support/support-info/250519vulnerability-response
canon.jp/-/media/Project/Canon/CanonJP/Website/support/su…

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: