Archivo de noticias

Vulnerabilidad del sistema operativo VxWorks [revisada el 3 de octubre de 2019]

Se han identificado once vulnerabilidades, denominadas «URGENT/11» (de CVE-2019-12255 a CVE-2019-12265), en el sistema operativo VxWorks. Se ha descubierto que la pila TCP/IP de IPnet utilizada en el sistema VxWorks también se ha estado usando en otros sistemas operativos en tiempo real, lo que plantea la posibilidad de que existan vulnerabilidades (CVE-2019-12255, CVE-2019-12262 y CVE-2019-12264) en una gama más amplia de productos.

Algunos modelos europeos anteriores podrían ser vulnerables a este problema, ya que se ha detectado que utilizan la pila TCP/IP de IPnet afectada:

• i-SENSYS MF4270
• i-SENSYS MF4370dn
• i-SENSYS MF4380dn
• imageRUNNER 2318
• imageRUNNER 2318L
• imageRUNNER 2320
• imageRUNNER 2420
• imageRUNNER 2422

Aviso de seguridad para las cámaras digitales Canon relacionado con las funciones de comunicación mediante el protocolo PTP (Picture Transfer Protocol) y las actualizaciones de firmware [añadido el 6 de agosto de 2019]

Muchas gracias por utilizar productos Canon.

Un equipo internacional de investigadores de seguridad ha llamado nuestra atención sobre una vulnerabilidad relacionada con las comunicaciones mediante el protocolo PTP (Picture Transfer Protocol) que utilizan las cámaras digitales Canon, así como una vulnerabilidad relacionada con las actualizaciones de firmware.

(CVE-ID: CVE-2019-5994, CVE-2019-5995, CVE-2019-5998, CVE-2019-5999, CVE-2019-6000, CVE-2019-6001）

Debido a estas vulnerabilidades, existe la posibilidad de que se produzcan ataques de terceros a la cámara si esta se encuentra conectada a un PC o dispositivo móvil interceptado a través de una red no segura.

Hasta la fecha, no se han confirmado casos de aprovechamiento de estas vulnerabilidades para provocar daños, pero a fin de garantizar que nuestros clientes puedan utilizar nuestros productos de forma segura, nos gustaría informarle de las siguientes soluciones provisionales a este problema.

• Asegúrese de que los ajustes relacionados con la seguridad de los dispositivos conectados a la cámara (como el PC, el dispositivo móvil y el enrutador en uso) son los adecuados.
• No conecte la cámara a un PC o dispositivo móvil que se esté utilizando en una red no segura, como un entorno Wi-Fi gratuito.
• No conecte la cámara a un PC o dispositivo móvil que pueda estar expuesto a infecciones de virus.
• Desactive las funciones de red de la cámara cuando no las esté utilizando.
• Descargue el firmware oficial del sitio web de Canon cuando desee realizar una actualización del firmware de la cámara.

Existe un aumento en el uso de ordenadores y dispositivos móviles en entornos de red no seguros (Wi-Fi gratuito) de los que los clientes desconocen el nivel de seguridad de la red. A medida que se vuelve más común transferir imágenes de una cámara a un dispositivo móvil mediante una conexión Wi-Fi, implementaremos actualizaciones de firmware para los siguientes modelos equipados con la función Wi-Fi.

Estas vulnerabilidades afectan a las siguientes cámaras réflex digitales y cámaras mirrorless de la serie EOS:

EOS-1DC*1 *2	EOS 6D Mark II	EOS 760D	EOS M6 Mark II	PowerShot SX740 HS
EOS-1DX*1 *2	EOS 7D Mark II*1	EOS 800D	EOS M10
EOS-1DX MK II*1 *2	EOS 70D	EOS 1300D	EOS M50
EOS 5D Mark III*1	EOS 77D	EOS 2000D	EOS M100
EOS 5D Mark IV	EOS 80D	EOS 4000D	EOS R
EOS 5DS*1	EOS 200D	EOS M3	EOS RP
EOS 5DS R*1	EOS 250D	EOS M5	PowerShot G5X Mark II
EOS 6D	EOS 750D	EOS M6	PowerShot SX70 HS

^*1 Si se utiliza un adaptador Wi-Fi o un transmisor de archivos inalámbrico, es posible establecer una conexión Wi-Fi.

^*2 Las conexiones Ethernet también se ven afectadas por estas vulnerabilidades.

Se proporcionará información sobre la actualización del firmware para cada producto, comenzando por los productos para los que se hayan completado los preparativos.

Problema de autenticación de uniFLOW [revisado el 19 de marzo de 2019]

Consulte las instrucciones para instalar la revisión aquí. 

Trabajamos por ofrecer soluciones seguras a nuestros clientes y pedimos disculpas por cualquier inconveniente derivado de esta situación. Si necesita más información con respecto a este aviso, póngase en contacto con su oficina de Canon, distribuidor autorizado o representante de asistencia de Canon locales. Si nota cualquier actividad sospechosa, informe inmediatamente al encargado de cuentas y al departamento de TI. 

Vulnerabilidad de los faxes [añadida el 31 de agosto de 2018] 

Recientemente, los investigadores han encontrado vulnerabilidades en los protocolos de comunicación que utilizan las funciones de fax de algunos productos. (ID de CVE: CVE-2018-5924, CVE 2018-5925). Para obtener información sobre el efecto de estas vulnerabilidades sobre productos Canon con funciones de fax, consulte a continuación:

Según hemos comprobado, dado que no emplean el protocolo de fax en color G3 del que se aprovechan estas vulnerabilidades, los siguientes productos no se ven afectados: los modelos con funciones de fax de las series imageRUNNER/iR, imageRUNNER ADVANCE, LASER CLASS, imagePRESS, FAXPHONE, GP e imageCLASS/i-SENSYS.

Los productos con funciones de fax de las series MAXIFY y PIXMA sí utilizan el protocolo de fax en color G3. Sin embargo, no se han identificado riesgos de ejecución de código malintencionado a través del circuito de fax, así como tampoco ningún riesgo de seguridad de la información almacenada en dichos dispositivos.

Seguiremos controlando la situación y adoptaremos las medidas necesarias para garantizar la seguridad de nuestros dispositivos.

Vulnerabilidades de seguridad de CPU Spectre y Meltdown [añadida el 8 de marzo de 2018]

Hace poco se hicieron públicas ciertas vulnerabilidades que afectaban a algunas CPU de Intel, AMD y ARM, que hacían uso de la ejecución especulativa para mejorar su rendimiento. Estas vulnerabilidades pueden permitir a un atacante obtener acceso no autorizado a áreas de memoria caché privada.

Se identificaron y nombraron dos variantes que utilizan distintas técnicas para aprovechar las funciones de ejecución especulativa dentro de la CPU afectada. Estas son CVE-2017-5715, CVE-2017-5753: «Spectre» y CVE-2017-5754: «Meltdown».

Los siguientes productos de controlador externo de Canon pueden verse afectados por estas vulnerabilidades. Aunque actualmente no hay forma conocida de aprovechar estas vulnerabilidades, se están preparando contramedidas para que los clientes puedan continuar utilizando sus productos sin preocupaciones.

ColorPASS: 
GX300 v2.0, GX300 v2.1, GX400 v1.0, GX500 v1.1

imagePASS: 
U1 v1.1, U1 v1.1.1, U2 v1.0 
Y1 v1.0, Y2 v1.0

imagePRESS-CR Server: 
A7000 v2.1, A7000 v3.0, A7300 v1.0, A7500 v2.1, A8000 v1.1

imagePRESS Server: 
A1200 v1.0, A1200 v1.1, A1300 v1.0, A2200 v1.0, A2200 v1.1, A2300 v1.0, A3200 v1.0, A3200 v1.1, A3300 v1.0 
B4000 v1.0, B4100 v1.0, B5000 v1.0, B5100 v1.0 
F200 v1.21, H300 v1.0 
J100 v1.21, J200 v1.21 
K100 v1.0, K200 v1.0 
Q2 v2.0, Z1 v1.0

El siguiente servicio de Canon puede verse afectado por las vulnerabilidades. Aunque actualmente no hay forma conocida de aprovechar estas vulnerabilidades, las contramedidas estarán en marcha a finales de febrero de 2018.

MDS Cloud

Ninguna impresora multifunción láser o impresora láser de Canon, ni los productos de software relacionados, con excepción de los mencionados anteriormente, se ven afectados por estas vulnerabilidades mediante ningún proceso de explotación conocido. Los clientes pueden continuar confiando en el uso de nuestros productos.

Canon trabaja constantemente para garantizar el máximo nivel de seguridad en todos sus productos y soluciones. Tratamos con extrema seriedad la seguridad de la información de nuestros clientes y su protección es nuestra absoluta prioridad.

Vulnerabilidad en el protocolo de cifrado Wi-Fi WPA2 [añadida el 16 de enero de 2018] 

Recientemente, un investigador dio a conocer una vulnerabilidad conocida como KRACKs en el protocolo de cifrado WPA2 estándar para redes LAN inalámbricas (Wi-Fi). Esta vulnerabilidad permite a un atacante interceptar de forma intencionada la transmisión inalámbrica entre el cliente (terminal equipado con función Wi-Fi) y el punto de acceso (el enrutador, etc.) para llevar a cabo actividades potencialmente peligrosas. Por ese motivo, esta vulnerabilidad no puede aprovecharla nadie fuera del alcance de la señal Wi-Fi ni en una ubicación remota a través de Internet a modo de intermediario. 

Aún tenemos que comprobar si se hay usuarios de Canon que han sufrido daños como consecuencia de esta vulnerabilidad. Sin embargo, con el objetivo de que nuestros clientes continúen usando sus productos con tranquilidad, recomendamos adoptar las siguientes medidas preventivas: 
• Usar un cable USB o Ethernet para conectar directamente dispositivos compatibles a una red 
• Cifrar las transmisiones de datos desde dispositivos que admiten la configuración de cifrado (TLS/IPSec) 
• Utilizar soportes físicos, como tarjetas SD, con dispositivos compatibles 
• Emplear ajustes como Wireless Direct y Direct Connect con dispositivos compatibles

Dado que los procedimientos de funcionamiento y las prestaciones ofrecidas pueden variar en función del dispositivo, le aconsejamos que consulte el manual del dispositivo para obtener más información. También le recomendamos que adopte las medidas necesarias para dispositivos como su PC o smartphone. Póngase en contacto con el fabricante del dispositivo para obtener más información sobre las medidas requeridas en cada caso.