Categories: DruckerWorkspace

Acht Jahre alte Sicherheitslücke betrifft rund 150 Druckermodelle von HP

Forscher von F-Secure haben mehrere Schwachstellen entdeckt, die in Multifunktionsdruckern von HP stecken. Betroffen sind vor allem die Modellreihen HP Color LaserJet Enterprise, HP Color LaserJet Managed, HP LaserJet Enterprise und HP LaserJet Managed. Betroffene Nutzer sollten prüfen, ob eine neue Firmware für ihre Geräte verfügbar ist.

Für die Anfälligkeiten mit den Kennungen CVE-2021-39237 und CVE-2021-39238 stehen bereits seit Anfang November Firmwareupdates zur Verfügung. Die erste Lücke erlaubt Unbefugten einen vollständigen Zugriff auf ein Geräte, allerdings wird dafür ein physischer Zugang zu einem ungepatchten Multifunktionsdrucker benötigt.

Der zweite Bug löst einen Pufferüberlauf bei der Verarbeitung speziell gestalteter Schriftzeichen aus. Darüber ist laut HP das Einschleusen und ausführen von Schadcode möglich. Das Unternehmen bewertet die Sicherheitslücke mit 9,3 Punkten um zehnstufigen Common Vulnerability Scoring System.

HP weist in seiner Sicherheitsmeldung auch darauf hin, dass CVE-2021-39238 “wurmfähig” ist: Ein Angreifer kann unter Umständen von einem einzelnen Drucker aus auf das gesamte Netzwerk zugreifen.

Wie BleepingComputer berichtet, wurde HP bereits Ende April von F-Secure über die Sicherheitslücken informiert. Der Druckerhersteller habe dann herausgefunden, dass nicht nur der von den Forscher benutzte Drucker HP M725z anfällig ist, sondern zahlreiche weitere Durckermodelle.

F-Secure wiederum weist darauf hin, dass die neue Firmware ab Werk das Drucken über USB-Speichermedien deaktiviert – was eine Möglichkeit war, eine der beiden Schwachstellen auszunutzen. Den Forscher zufolge kann aber auch ein speziell gestaltetes PDF-Dokument benutzt werden, um den Bug in der Verarbeitung von Schriftzeichen auszunutzen. Ein Angriff sei aber auch möglich, indem ein speziell gestalteter Druckauftrag per HTTP POST an den JetDirect-Port TCP9100 geschickt wird. Die F-Secure-Forscher betonten aber auch, dass ihnen keine aktiven Angriffe auf die beiden Schwachstellen bekannt seien.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Schnelle Klicks mit schlimmen Folgen

Mit psychologischen Tricks verleiten Spear-Phishing-Angreifer ihre Opfer zu schnellen Klicks auf betrügerische Mails, warnt David…

10 Stunden ago

Lieferkettensorgfalts- pflichtengesetz setzt Unternehmen unter Zugzwang

Modebranche, Textilindustrie und Einzelhandel stehen unter Druck, die Vorgaben des Lieferkettensorgfaltspflichtengesetz (LkSG) ab Januar 2023…

14 Stunden ago

Mit DevOps die Produktivität und Qualität von Software-Releases erhöhen

Das DevOps-Konzept erfordert eine weitflächige Automatisierung, um die Prozesse der Softwareentwicklung zu verbessern, sagt Gastautorin…

1 Tag ago

Social Media für Unternehmen

Bitkom veröffentlicht neuen Social-Media-Leitfaden: Hilfreiche Tipps, wie Unternehmen soziale Medien erfolgreich für sich nutzen können.

3 Tagen ago

High-Tech im Stall, KI auf dem Acker

Bitkom und DLG stellen neue Studie zur Digitalisierung der Landwirtschaft vor. 8 von 10 Höfen…

3 Tagen ago

Software gemeinsam entwickeln

Open Source ist das Fundament einer „Sharing Economy“, sagt der Forschungsbeirats der Plattform Industrie 4.0.

3 Tagen ago