Dernières actualités

Vulnérabilité du système d'exploitation VxWorks [Révision : 20 septembre 2019]

Onze vulnérabilités, appelées « URGENT/11 » (CVE-2019-12255 à CVE-2019-12265), ont été identifiées dans le système d'exploitation VxWorks. Il a été constaté que la pile IPNet TCP/IP utilisée dans le système d'exploitation VxWorks a également été utilisée dans d'autres systèmes d'exploitation en temps réel, ce qui ouvre la possibilité aux vulnérabilités (CVE-2019-12255, CVE-2019-12262 et CVE-2019-12264) d'exister dans une plus large gamme de produits.

Nous étudions actuellement l'impact que cela peut avoir sur les produits Canon et nous prendrons les mesures appropriées si nécessaire.

Concernant la mise en garde de sécurité pour les appareils photo numériques Canon liés aux fonctions de communication du Protocole de transfert d'image (PTP) et aux fonctions de mise à jour du micrologiciel - [Ajout le 6 août 2019]

Merci d'utiliser les produits Canon.

Une équipe internationale de chercheurs en matière de sécurité a attiré notre attention sur une vulnérabilité liée aux communications via le Protocole de transfert d'image (PTP) utilisé par les appareils photo numériques Canon, ainsi que sur une autre vulnérabilité liée aux mises à jour des micrologiciels.

(CVE-ID:CVE-2019-5994, CVE-2019-5995, CVE-2019-5998, CVE-2019-5999, CVE-2019-6000, CVE-2019-6001）

En raison de ces vulnérabilités, l'appareil photo encourt un risque d'attaque par un tiers s'il est connecté à un PC ou à un appareil mobile ayant été piraté par le biais d'un réseau non sécurisé.

À ce stade, il n'y a pas eu de cas confirmés d'exploitation dommageable de ces vulnérabilités, mais nous souhaitons vous informer des solutions suivantes pour contourner ce problème afin de garantir que nos clients puissent utiliser nos produits en toute sécurité.

• Assurez-vous que les paramètres de sécurité des périphériques connectés à l'appareil photo sont adaptés, notamment sur le PC, l'appareil mobile ou le routeur utilisés.
• Ne connectez pas l'appareil photo à un PC ou à un appareil mobile qui est lui-même connecté à un réseau non sécurisé, tel qu'un environnement Wi-Fi gratuit.
• Ne connectez pas l'appareil photo à un PC ou à un appareil mobile susceptible d'être exposé à un virus.
• Désactivez les fonctions réseau de l'appareil photo lorsque vous n'en avez pas usage.
• Téléchargez le micrologiciel officiel à partir du site Web de Canon lorsque vous effectuez une mise à jour du micrologiciel d'un appareil photo.

On remarque une utilisation croissante de PC et appareils mobiles sur des réseaux non sécurisés (Wi-Fi gratuit) dont les clients ne connaissent pas le niveau de sécurité. En effet, de nombreux utilisateurs ont pris l'habitude de transférer des images d'un appareil photo vers un appareil mobile via une connexion Wi-Fi, et nous avons donc décidé d'implémenter des mises à jour des micrologiciels des modèles suivants équipés de la fonction Wi-Fi.

Ces vulnérabilités affectent les appareils photo suivants de la série EOS (reflex numériques et hybrides) :

^*1 Si vous utilisez un adaptateur Wi-Fi ou un transmetteur de fichiers sans fil, vous pouvez établir une connexion Wi-Fi.

^*2 Les connexions Ethernet sont également affectées par ces vulnérabilités.

Des informations sur les mises à jour des micrologiciels seront fournies individuellement pour chaque produit, en commençant par les produits pour lesquels des préparations ont déjà été effectuées.

Problème d'authentification uniFLOW - Mise à jour le 19/03/2019

Vulnérabilité de télécopie - Ajout le 31 août 2018

Récemment, des chercheurs ont signalé des vulnérabilités détectées dans les protocoles de communication des fonctions de télécopie de certains produits. (CVE-ID : CVE-2018-5924, CVE 2018-5925). Pour en savoir plus sur l'impact de ces vulnérabilités sur les produits Canon équipés de fonctions de télécopie, lisez ce qui suit :

Selon notre examen, les produits suivants, qui n'emploient pas le protocole de télécopie G3 couleur exploité par ces vulnérabilités, ne sont pas concernés : modèles des séries imageRUNNER/iR, imageRUNNER ADVANCE, LASER CLASS, imagePRESS, FAXPHONE, GP et imageCLASS/i-SENSYSéquipés de fonctions de télécopie.

Les produits des séries MAXIFY et PIXMA équipés de fonctions de télécopie emploient le protocole de télécopie G3 couleur. Toutefois, nous n'avons identifié aucun risque de code malveillant exécuté via le circuit de télécopie, ni aucun risque pour la sécurité des informations enregistrées sur ces périphériques.

Nous continuerons de surveiller cette situation et de prendre les mesures nécessaires pour assurer la sécurité de nos périphériques.

Vulnérabilités de sécurité de CPU Spectre et Meltdown - Ajout le 8 mars 2018

Deux variantes de ces vulnérabilités utilisant différentes techniques pour exploiter les fonctions d'exécution spéculative au sein des processeurs concernés ont été identifiées et nommées. Il s'agit de CVE-2017-5715, CVE-2017-5753 : « Spectre » et CVE-2017-5754 : « Meltdown ».

Les produits de contrôleurs externes de Canon suivants peuvent être concernés par ces vulnérabilités. Bien qu'il n'existe actuellement aucun moyen connu d'exploiter ces vulnérabilités, des correctifs sont en cours d'élaboration afin que les clients puissent continuer à utiliser nos produits sans inquiétude.

ColorPASS :
GX300 v2.0, GX300 v2.1, GX400 v1.0, GX500 v1.1

imagePASS :
U1 v1.1, U1 v1.1.1, U2 v1.0
Y1 v1.0, Y2 v1.0

Serveur imagePRESS-CR :
A7000 v2.1, A7000 v3.0, A7300 v1.0, A7500 v2.1, A8000 v1.1

Serveur imagePRESS :
A1200 v1.0, A1200 v1.1, A1300 v1.0, A2200 v1.0, A2200 v1.1, A2300 v1.0, A3200 v1.0, A3200 v1.1, A3300 v1.0
B4000 v1.0, B4100 v1.0, B5000 v1.0, B5100 v1.0
F200 v1.21, H300 v1.0
J100 v1.21, J200 v1.21
K100 v1.0, K200 v1.0
Q2 v2.0, Z1 v1.0

Le service Canon suivant peut être concerné par ces vulnérabilités. Bien qu'il n'existe actuellement aucun moyen connu d'exploiter ces vulnérabilités, des correctifs ont été mis en place fin février 2018.

MDS Cloud

Toutes les imprimantes multifonctions laser Canon et imprimantes laser Canon ainsi que leurs produits logiciels associés, sauf ceux mentionnés ci-dessus, ne sont pas concernés par ces vulnérabilités par le biais de tout processus d'exploitation connu. Les clients peuvent continuer à utiliser nos produits en toute confiance.

Canon travaille constamment pour garantir que le plus haut niveau de sécurité est atteint dans tous nos produits et solutions. Nous prenons au sérieux la sécurité des informations de nos clients et leur protection est notre priorité absolue.

Vulnérabilité dans le protocole de cryptage Wi-Fi WPA2 - Ajout le 16 janvier 2018

Un chercheur a récemment rendu public une vulnérabilité connue sous le nom de KRACK dans le protocole de cryptage LAN sans fil (Wi-Fi) standard WPA2. Cette vulnérabilité permet à un attaquant d'intercepter intentionnellement les transmissions sans fil entre le client (terminal équipé de la fonctionnalité Wi-Fi) et le point d'accès (routeur, etc.) pour effectuer des activités potentiellement malveillantes. C'est pourquoi cette vulnérabilité ne peut être exploitée par aucune personne située en dehors de la portée du signal Wi-Fi ou dans un emplacement distant et utilisant Internet en guise d'intermédiaire.

Nous devons encore confirmer si cette vulnérabilité a pu causer des problèmes aux utilisateurs de produits Canon. Cependant, pour que nos clients puissent continuer à utiliser nos produits en toute tranquillité, nous recommandons d'adopter les mesures de prévention suivantes :
•Utilisez un câble USB ou Ethernet pour connecter directement des appareils compatibles à un réseau
•Chiffrez la transmission des données des appareils en activant les paramètres de chiffrement (TLS/IPSec)
•Utilisez des supports physiques, comme des cartes SD, avec les appareils compatibles
•Utilisez des paramètres comme Wireless Direct et Direct Connect avec les appareils compatibles

Les procédures d'utilisation et les fonctionnalités proposées étant variables d'un appareil à l'autre, veuillez consulter le manuel de votre appareil pour en savoir plus. Nous vous recommandons également d'adopter des mesures appropriées pour des appareils tels que votre PC ou votre smartphone. Pour plus d'informations sur les mesures appropriées pour chaque appareil, contactez le fabricant de l'appareil.