Vasion Print (ранее PrinterLogic) Virtual Appliance Host до версии 22.0.1049 и Application до версии 20.0.2786 (развертывания VA и SaaS) со…

Vasion Print (ранее PrinterLogic) Virtual Appliance Host до версии 22.0.1049 и Application до версии 20.0.2786 (развертывания VA и SaaS) содержат приватный SSL‑ключ и соответствующий публичный сертификат, сохранённые в открытом виде. Ключ относится к хосту `pl‑local.com` и используется устройством для завершения TLS‑соединений на портах 80/443. Поскольку ключ зашит в коде, любой атакующий, получивший доступ на уровне контейнера, может просто прочитать файлы и добыть приватный ключ. С помощью приватного ключа злоумышленник может расшифровывать TLS‑трафик, выполнять атаки «человек посередине» или подделывать TLS‑сертификаты, что позволяет имитировать веб‑интерфейс устройства, перехватывать учётные данные и получать неограниченный доступ к любым сервисам, которым доверяют данный сертификат.6. Идентичный ключ присутствует во всех развернутых апплайенсах, поэтому кража одного ключа ставит под угрозу конфиденциальность всех установок Vasion Print. Подробнее см. в источниках [1][2][3][4]. Источники: - [1] https://pierrekim.github.io/blog/2025-04-08-vasion-printerlogic-83-vulnerabilities.html#va-hardcoded-ssl-private-key - [2] https://help.printerlogic.com/va/Print/Security/Security-Bulletins.htm - [3] https://help.printerlogic.com/saas/Print/Security/Security-Bulletins.htm - [4] https://www.vulncheck.com/advisories/vasion-print-printerlogic-hardcoded-ssl-certificate-and-private-keys