Рекомендации по безопасности для цифровых камер Canon, использующих функции подключения через PTP (протокол передачи изображений) и обновления встроенного ПО – Добавлено 6 августа 2019 года

Спасибо за то, что вы пользуетесь продукцией Canon.

Международная команда специалистов по кибербезопасности сообщила нам об уязвимости, связанной с использованием протокола передачи изображений (PTP) цифровыми камерами Canon, а также об уязвимостях, связанных с обновлениями встроенного ПО.

(CVE-ID:CVE-2019-5994, CVE-2019-5995, CVE-2019-5998, CVE-2019-5999, CVE-2019-6000, CVE-2019-6001）

Эти уязвимости предполагают возможный взлом камеры сторонними лицами, если она подключена к ПК или мобильному устройству, взломанному через незащищенную сеть.

На данном этапе мы не можем подтвердить возможность злоумышленного использования этих уязвимостей, но мы стремимся к обеспечению безопасности наших устройств и поэтому хотим поделиться с вами возможными решениями проблемы.

• Убедитесь в безопасности подключенных к камере устройств, таких как ПК, мобильные устройства или маршрутизатор.
• Не подключайте камеру к ПК или мобильным устройствам, которые используются в незащищенных сетях, например общественной сети Wi-Fi.
• Не подключайте камеру к ПК или мобильным устройствам, которые могут быть заражены вирусным ПО.
• Отключайте сетевые функции камеры, когда они не используются.
• При обновлении встроенного ПО камеры загружайте файлы обновления с официального веб-сайта Canon.

Все больше пользователей ПК и мобильных устройств работают с незащищенными (общественными) сетями Wi-Fi и не осознают уязвимость своих устройств. Поскольку в большинстве случаев изображения с камеры на мобильные устройства передаются посредством Wi-Fi, мы подготовим новые версии встроенного ПО для следующих моделей с функцией Wi-Fi.

Эти уязвимости затрагивают следующие модели цифровых зеркальных и беззеркальных камер EOS:
EOS-1DX*1 *2	EOS 6D Mark II	EOS 760D	EOS M6 Mark II	PowerShot SX740 HS
EOS-1DX MK II*1 *2	EOS 7D Mark II*1	EOS 800D	EOS M10
EOS-1DC*1 *2	EOS 70D	EOS 1300D	EOS M50
EOS 5D Mark III*1	EOS 77D	EOS 2000D	EOS M100
EOS 5D Mark IV	EOS 80D	EOS 4000D	EOS R
EOS 5DS*1	EOS 200D	EOS M3	EOS RP
EOS 5DS R*1	EOS 250D	EOS M5	PowerShot G5X Mark II
EOS 6D	EOS 750D	EOS M6	PowerShot SX70 HS

^*1 Соединение Wi-Fi можно установить при наличии адаптера Wi-Fi или беспроводного передатчика файлов.

^*2 Данные уязвимости также относятся и к подключению Ethernet.

Информация об обновлении встроенного ПО будет предоставлена для каждого продукта по мере подготовки файлов обновления.

Проблема аутентификации uniFLOW – Обновлено 19 марта 2019 года

Ознакомьтесь с инструкциями по установке исправления здесь 

Мы стремимся обеспечить безопасность наших решений для клиентов и приносим извинения за любые неудобства, связанные с этой ситуацией. Если вам требуется дополнительная информация, обратитесь в местный офис Canon, к авторизованному торговому посреднику или представителю службы поддержки Canon. Если вы заметили какую-либо подозрительную активность, сообщите об этом своему менеджеру по работе с клиентами и сотрудникам ИТ-отдела. 

Уязвимость факса - Добавлено 31 августа 2018 года 

Недавно стало известно об уязвимостях, обнаруженных в протоколах связи в функции факса некоторых устройств. (CVE-ID: CVE-2018-5924, CVE 2018-5925). Более подробную информацию о влиянии этих уязвимостей на продукты Canon с функциями факса см. ниже:

На основании полученных данных следующие продукты не подвержены уязвимостям, так как они не используют протокол факса Colour G3: imageRUNNER/iR, imageRUNNER ADVANCE, LASER CLASS, imagePRESS, FAXPHONE, GP и устройства серии imageCLASS/i-SENSYS с функциями факса.

Устройства серии MAXIFY и PIXMA с функциями факса используют протокол факса Colour G3. Однако мы не обнаружили каких-либо рисков, связанных с внедрением вредоносного кода через систему факса, или рисков для безопасности информации, сохраненной на этих устройствах.

Мы продолжим следить за этой ситуацией и предпринимать необходимые меры для обеспечения безопасности наших устройств.

Spectre и Meltdown — уязвимости системы безопасности процессоров - Добавлено 8 марта 2018 года

Недавно стало известно об уязвимостях, затрагивающих некоторые процессоры производства Intel, AMD и ARM, в которых используется спекулятивное выполнение команд для повышения производительности. Эти уязвимости позволяют злоумышленнику получить несанкционированный доступ к областям выделенной кэш-памяти.

Установлено и дано имя двум вариантам уязвимостей, которые при помощи различных подходов используют недостатки функций спекулятивного выполнения команд в затрагиваемых процессорах. Это CVE-2017-5715, CVE-2017-5753 (Spectre) и CVE-2017-5754 (Meltdown).

Уязвимостям могут быть подвержены следующие внешние котроллеры Canon. Несмотря на то, что на данный момент нет известных способов борьбы с этими уязвимостями, мы занимаемся разработкой средств по решению данной проблемы, чтобы клиенты могли с уверенностью пользоваться нашей продукцией.

ColorPASS: 
GX300 v2.0, GX300 v2.1, GX400 v1.0, GX500 v1.1

imagePASS: 
U1 v1.1, U1 v1.1.1, U2 v1.0 
Y1 v1.0, Y2 v1.0

imagePRESS-CR Server: 
A7000 v2.1, A7000 v3.0, A7300 v1.0, A7500 v2.1, A8000 v1.1

imagePRESS Server: 
A1200 v1.0, A1200 v1.1, A1300 v1.0, A2200 v1.0, A2200 v1.1, A2300 v1.0, A3200 v1.0, A3200 v1.1, A3300 v1.0 
B4000 v1.0, B4100 v1.0, B5000 v1.0, B5100 v1.0 
F200 v1.21, H300 v1.0 
J100 v1.21, J200 v1.21 
K100 v1.0, K200 v1.0 
Q2 v2.0, Z1 v1.0

Уязвимостям может быть подвержен следующий сервис Canon. Несмотря на то, что на данный момент нет известных способов борьбы с этими уязвимостями, средства по решению данной проблемы были представлены к концу февраля 2018 г.

MDS Cloud

Все лазерные многофункциональные устройства Canon, лазерные принтеры Canon и связанное с ними программное обеспечение, кроме вышеуказанного, не подвержены данным уязвимостям ни через какие известные процессы эксплуатации систем. Клиенты могут спокойно продолжать пользоваться нашей продукцией.

Canon непрерывно работает над обеспечением высокого уровня безопасности всех наших продуктов и решений. Мы серьезно относимся к защите информации наших клиентов, это является одной из наших самых приоритетных задач.

Уязвимость в протоколе шифрования Wi-Fi WPA2 - Добавлено 16 января 2018 года 

Недавно стало известно об уязвимости, называемой KRACK, в стандартном протоколе шифрования беспроводной ЛВС (Wi-Fi) WPA2. Данная уязвимость позволяет злоумышленнику намеренно перехватывать передачу данных по беспроводной сети между клиентом (точка подключения с функцией Wi-Fi) и точкой доступа (маршрутизатором и т. д.) для совершения потенциально вредоносных действий. По этой причине данную уязвимость нельзя использовать за пределами действия сигнала Wi-Fi или из удаленного местоположения через Интернет. 

В настоящий момент мы планируем проверить, могли ли в связи с этой уязвимостью пострадать пользователи продуктов Canon. Для того чтобы наши клиенты могли спокойно продолжать пользоваться продукцией, мы рекомендуем принять следующие меры. 
• Используйте кабель USB или кабель Ethernet для прямого подключения устройств к сети 
• Выполняйте шифрование передачи данных с устройств, позволяющих настроить параметры шифрования (TLS/IPSec) 
• Используйте такие физические носители, как SD-карты, с совместимыми устройствами 
• Используйте такие настройки, как Wireless Direct и Direct Connect, с совместимыми устройствами

Так как операции и функции различаются на разных устройствах, обратитесь к руководству пользователя устройства для получения дополнительной информации. Мы также рекомендуем принять надлежащие меры в отношении таких устройств, как ПК или смартфон. Для получения информации о необходимых мерах для каждого устройства свяжитесь с производителем устройства.