Vulnerabilidad en productos WebConfig de EPSON y Epson Web Control para proyectores

Referencia de vulnerabilidad: CVE-2025-64310

Descripción: La autenticación con contraseña (Contraseña Acc. Web y Contraseña Remote) de los productos afectados que se indican a continuación, no tienen una restricción ni un mecanismo de bloqueo.

Impacto: Un atacante puede probar una cantidad ilimitada de contraseñas, lo que hace al proyector vulnerable a ataques de fuerza bruta. Si se descubre la Contraseña Acc. Web o la Contraseña Remote durante el ataque de fuerza bruta, un tercero puede tomar el control del proyector y hacer lo siguiente:

• Operar el proyector: encenderlo o apagarlo, cambiar la fuente de entrada, etc.
• Editar contenido almacenado en una unidad flash USB o tarjeta SD conectada al proyector (para modelos compatibles con el modo Reprod. de contenido).
• Capturar imágenes proyectadas con Acceso cámara remota (para modelos compatibles con esta función).
• Ver archivos del registro del proyector guardados en una unidad flash USB (para modelos compatibles con la funcionalidad Almacenamiento de registros).

Actualmente no hay informes de ataques que se aprovechen de esta vulnerabilidad.

Solución: Según lo indicado a continuación, se distribuirá un firmware de contramedida. Después de que se distribuya el firmware, le recomendamos encarecidamente que lo descargue del sitio web de Epson y aplique la actualización.

En el caso de productos sin actualizaciones disponibles de firmware, le recomendamos encarecidamente que implemente uno de los métodos de solución alternativa que se detallan a continuación.

Método de solución alternativa 1

Configurar el proyector de acuerdo con el manual del usuario:

• El producto no debería conectarse directamente a internet y debería instalarse en una red protegida por un firewall.
• Configure la Contraseña Acc. Web y la Contraseña Remote para cada producto.
• La Contraseña Acc. Web y la Contraseña Remote deberían ser una cadena compleja que sea difícil de adivinar para otras personas, que mezcle caracteres alfabéticos, símbolos y números, con al menos 8 caracteres.

Método de solución alternativa 2

Bloquear el acceso HTTP al producto:

• Bloquee el acceso HTTP (puerto TCP/80 y puerto TCP/443) al producto con un dispositivo de red (router o interruptor). Abra el puerto solo cuando necesite actualizar los ajustes de la aplicación o el firmware.

Modelos afectados y solución: