Boletín de seguridad de Xerox XRX08-004

Transcripción

1 Actualización de software para solucionar la vulnerabilidad a XSS Antecedentes Existe vulnerabilidad persistente al XSS (Cross Site Scripting, ejecución de secuencias de comandos en sitios cruzados) en el servidor web de los productos indicados más abajo. Esta vulnerabilidad puede permitir la inyección de código malicioso, por parte de usuarios de la web, en las páginas web vistas por otros usuarios. Las claves de usuarios y clientes no están expuestas a este peligro. Esta vulnerabilidad nos fue comunicada de forma privada por Louhi Networks de Finlandia. Xerox, aparte de la versión de prueba del código de explotación suministrada por el investigador de seguridad, no tiene constancia de la existencia libre de este código de explotación. Como parte de los continuos esfuerzos por parte de Xerox de proteger a sus clientes, se han preparado archivos ejecutables 1 o binarios con versiones de software del controlador de red que solucionan esta vulnerabilidad en los productos indicados más abajo. Estas soluciones están previstas para que las instale el cliente. Siga los procedimientos que se indican a continuación para instalar las soluciones y proteger su producto de posibles ataques a través de la red. Las soluciones de software se encuentran comprimidas uno de los seis archivos ejecutables (según cuál sea el producto), a los que se accede a través de los enlaces incluidos a continuación o de los enlaces que acompañan a este boletín en WorkCentre 7132 (ejecutable estándar) -- WorkCentre 7132 (binario estándar) -- WorkCentre 7132 (con ejecutable PostScript) -- WorkCentre 7132 (con binario PostScript) -- WorkCentre 7228/7235/7245 (ejecutable) -- WorkCentre 7228/7235/7245 (binario) -- Estas soluciones se consideran parches de importancia crítica. Agradecimientos: Xerox desea agradecer a Henri Lindberg, de Louhi Networks, Finlandia ( haber enviado la primera notificación sobre esta vulnerabilidad. Esta solución de software está destinada a las versiones conectadas 2 en red de los siguientes productos: WorkCentre Firmware Update Tool for Windows: utilidad de actualización del equipo incluida con la versión del software que permite realizar la instalación de la versión de software al cliente. 2 Si el producto no se encuentra conectado en red, no es vulnerable y no requiere acción alguna. 701P de 6

2 Solución Proceso de instalación del parche Edición: 19/05/08 Instrucciones de instalación Nombre de archivo del parche para WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip (ejecutable de extracción automática) cert_p35_wc7228_7235_7245_bin.zip (binario para usar con CentreWare Web) Nombre de archivo del parche para WC 7132: cert_p35_wc7132-std_exec.zip (versión estándar del ejecutable de extracción automática) cert_p35_wc7132-std_bin.zip (versión estándar del binario para usar con CentreWare Web) cert_p35_wc7132-ps_exec.zip (versión PostScript del ejecutable de extracción automática) cert_p35_wc7132-ps_bin.zip (versión PostScript del binario para usar con CentreWare Web) Para versión PS de WC 7132, usar cert_p35_wc7132-ps_exec.zip o cert_p35_wc7132-ps_bin.zip Para versión STD de WC 7132, usar cert_p35_wc7132-std_exec.zip o cert_p35_wc7132-std_bin.zip Si su versión de La ROM del Listo para Siguiente software es: Después: controlador el parche? paso: Controller ROM mostrará: 1 De a Sí Cargar parche (Ver notas 1 y 2 para WC 7132, abajo) NOTA 1 para WC 7132: para WC 7132, determinar primero qué archivo se debe descargar en el equipo. El equipo WC 7132 se puede configurar como versión PostScript (PS) o estándar (STD). Para decidirlo, ver el Apéndice A, más abajo. NOTA 2 para WC 7132: cert_p35_wc7132-std_exec.zip y cert_p35_wc7132-ps_exec.zip son archivos ejecutables de extracción automática. Cada ejecutable utiliza la herramienta Firmware Update Tool como se describe en el Apéndice B, más abajo. Este producto no se puede instalar desde CentreWare Web. Si está utilizando CentreWare Web, no utilice el archivo.exe. En su lugar, utilice el archivo cert_p35_wc7132-std_bin.zip o cert_p35_wc7132-ps_bin.zip. Para WC 7228/7235/7245, utilice WC7228_7235_7245_EXEC.zip o cert_p35_wc7228_7235_7245_bin.zip (Ver Nota 1 para WC 7228/7235/7245, abajo) Si su versión de La ROM del Listo para Siguiente software es: Después: controlador el parche? paso: Controller ROM mostrará: 1 De a Sí Cargar parche (Ver Nota 1 para WC 7228/7235/ 7245, abajo) NOTA 1 para WC 7228/7235/7245: cert_p35_wc7228_7235_7245_exec.zip es un archivo ejecutable de extracción automática que utiliza la herramienta Firmware Update Tool como se describe en el Apéndice B, más abajo. Si está utilizando CentreWare Web, no utilice el archivo.exe. En su lugar, utilice el archivo cert_p35_wc7228_7235_7245_bin.zip. 701P de 6

3 Instalación del parche Es necesario descargar el parche. El parche está empaquetado en formato ZIP. Descargue el archivo ZIP de la URL indicada y extraiga todo su contenido en el escritorio. No intente abrir el archivo que tiene la extensión.dlm. Es el parche y se debe cargar en el producto multifunción tal cual. Métodos de instalación del parche Este parche y la actualización (como la mayoría del software) debe instalarlo el cliente. Existen varios métodos. - Utilizar el archivo ejecutable de extracción automática que empleará la herramienta Firmware Update Tool. Ver Apéndice B. - Utilizar XDM/CentreWare Web para enviar archivos de parches/actualizaciones a varios equipos. Para obtener más información sobre este método, consulte el documento de consejos al usuario, titulado "How to Upgrade, Patch or Clone Xerox Multifunction Devices" (cómo actualizar, instalar un parche o clonar equipos multifunción Xerox) en Apéndice A Cómo determinar si el equipo WC 7132 está configurado como PS o STD: Es muy importante descargar el archivo de actualización idóneo para la máquina. Para determinar la versión del software que se está ejecutando: 1. Abra un navegador web, escriba seguido de la dirección TCP/IP de la máquina en el campo Dirección o Ubicación y pulse [Intro]. 2. Haga clic en la ficha [Propiedades]. 3. Haga clic en [Configuración]. 4. Desplácese a la sección de Software para ver la versión de la controladora. Observe si la ROM de la controladora se indica como Controller ROM o como Controller+PS ROM. Así podrá determinar qué archivo debe descargar de Xerox.com. Controller ROM requiere el archivo STD; Controller+PS ROM requiere el archivo PS. Apéndice B Utilización de Firmware Update Tool (.EXE de extracción automática): 1. La herramienta Firmware Update Tool sólo es compatible con los sistemas operativos Windows. Si no cuenta con un sistema operativo Windows, contacte con Asistencia de Xerox para que un técnico descargue el parche. 2. La herramienta Firmware Update Tool utiliza el Puerto Por tanto, compruebe que el equipo tiene activado Puerto Para ello: a. Abra un navegador web y, en el campo Dirección o Ubicación, escriba seguido de la dirección TCP/IP de la máquina. Pulse [Intro]. b. Haga clic en la ficha [Propiedades]. c. Haga clic en [Estado de los puertos]. d. Asegúrese de que la casilla de verificación de Puerto 9100 esté marcada (opción activada). Si no lo está, seleccione la casilla para marcarla y pulse [Aplicar] en la parte inferior de la página web. 3. Antes de proceder a la actualización, asegúrese de que la máquina no esté utilizándose; es decir, que no haya ningún trabajo en curso ni nadie programando trabajos en la interfaz de usuario local. 4. Haga doble clic en el nombre del archivo.exe. Verá la pantalla que se muestra a continuación. Tras leer el Acuerdo de licencia, pulse [Agree] (Acepto) para comenzar la instalación. Si está actualizando un equipo WC 7132, asegúrese de elegir el archivo correcto (PS o STD) según las instrucciones del Apéndice A (apartado anterior). 701P de 6

4 5. En la pantalla siguiente, seleccione el modelo de impresora adecuado de la lista desplegable. Para WC 7228/7235/7245 dispone de estas posibilidades: WorkCentre 7228, WorkCentre 7235, WorkCentre Asegúrese de seleccionar el modelo de equipo correcto. Para WC 7132 existe una opción: WorkCentre Asegúrese de que esté seleccionada la opción Network (Port9100) y pulse [Next] (Siguiente). 701P de 6

5 7. Seleccione IPAddress Input y escriba la dirección TCP/IP del equipo. Pulse [Next]. Si selecciona una impresora incorrecta en el Paso 5, no podrá continuar con el paso siguiente tras pulsar [Next]. 8. El parche comenzará a descargarse en la máquina. Tardará unos minutos en descargarse. 701P de 6

6 9. No pulse ningún botón en Firmware Update Tool hasta que aparezca la pantalla Firmware Update Result is Displayed Below. Desplácese a la derecha para comprobar el estado de la actualización y asegurarse de que el equipo se ha actualizado correctamente. Si es así, pulse [Finish] para salir de la herramienta. Si no se ha podido realizar la actualización, compruebe que el archivo elegido es el correcto, que la máquina no se está utilizando mientras se actualiza y que la red funciona con normalidad. Si a pesar de cumplirse todas estas condiciones la actualización da problemas, contacte con el Centro de Asistencia al Cliente. Exclusión de responsabilidad La información incluida en esta respuesta de producto Xerox se proporciona tal cual, sin garantía de ningún tipo. Xerox Corporation deniega cualquier garantía, ya sea explícita o implícita, incluyendo las garantías de comerciabilidad y adecuación a un fin en particular. En ningún caso Xerox Corporation será responsable de ningún daño que se derive del uso o la falta de uso que haga el usuario de la información que se proporciona en esta respuesta de producto de Xerox, lo que incluye daños indirectos, incidentales, consecuentes, pérdida de beneficios comerciales o daños especiales, aunque Xerox Corporation hubiese sido advertida de la posibilidad de que se produjeran dichos daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuentes, de manera que estas limitaciones pueden no aplicarse. 701P de 6