Paneles web de impresoras: una suculenta fuente de información para los atacantes

A estas alturas, cualquier administrador de sistemas que se precie tiene más que claro que la protección de las estaciones de trabajo (tanto sobremesa como portátiles) como los servidores es esencial para mantener a salvo la información confidencial de una empresa. Se invierte mucho dinero y esfuerzo (con un éxito relativo, viendo las continuas filtraciones publicadas por grupos hacktivistas) en evitar que estos sistemas se infecten o que sean accesibles por usuarios no autorizados que puedan comprometer la seguridad.

Cuando nos movemos al territorio de dispositivos móviles como Smartphones o tablets, aún hay muchos administradores que dudan o no disponen de los recursos suficientes para llevar a cabo una gestión eficaz de la seguridad en ese campo. Pero si hablamos de otro tipo de dispositivos presentes en la mayoría de empresas, como puedan ser las impresoras de red, el panorama es aun más desalentador.

En anteriores ocasiones ya hemos comentado la dudosa seguridad de la que disponen ciertos dispositivos que se encuentran conectados a la red. Nuestro compañero Chema Alonso ha vuelto a sacar a relucir el tema del acceso a los paneles web de impresoras conectadas a la red en un reciente post publicado en su conocido blog. En ese artículo nos muestra cómo podemos acceder al panel web de varias impresoras con solo realizar una búsqueda en Google.

Muchos de los paneles web de estas impresoras no disponen de contraseña alguna, por lo que simplemente pulsando sobre uno de los resultados podremos acceder al menú y observar toda la información que en él se suministra.

Si bien no se puede modificar ningún parámetro, sí que se puede obtener información interesante tanto de la red donde su ubica la impresora como de los documentos impresos en ella, pudiendo obtener también la ruta donde se ubica. Esta información es muy útil, puesto que un atacante podría aprovecharla para preparar ataques dirigidos usando exploits que se aprovechen de los agujeros de seguridad presentes en los programas usados.

Asimismo, si la impresora dispone de una función de fax, podremos acceder al registro de números a los que hemos enviado o desde los que hemos recibido algún fax. Este dato es importante si queremos obtener información de con que clientes o proveedores se relaciona la empresa.

Con el acceso a este tipo de paneles web podemos visualizar toda la configuración de la impresora aunque, por suerte, no podremos modificar ningún parámetro. No obstante, se pueden sacar datos más que interesantes de esta sección.

Por ejemplo, información sobre la red o el protocolo de comunicación usado:

En algunos modelos disponemos también de la posibilidad de asignar una contraseña temporal a los documentos PDF desde el propio panel web, lo que puede causar más de un quebradero de cabeza a los usuarios de esa impresora si alguien se dedicase a jugar con esa opción.

Como vemos, se puede obtener una gran cantidad de información de nuestra red por culpa de un panel web perteneciente a una impresora. En principio, el responsable de administrar esta red debería evitar el acceso a este tipo de paneles web, pero tampoco estaría de más que los fabricantes pusieran su granito de arena deshabilitando por defecto este tipo de consultas para evitar encontrarnos con este tipo de situaciones.

Josep Albors