150 HP-printermodellen kwetsbaar door acht jaar oude fouten

De onderzoekers ontdekten de kwetsbaarheden bij onderzoek naar een HP M725z multi-functon printer, schrijft Bleeping Computer. De fouten werden op 29 april dit jaar gemeld bij HP. Voor twee van de meest kritieke fouten zijn op 1 november patches verschenen.

Wormgevaar

Eén van die fouten valt te volgen onder CVE-nummer 2021-39237 en draait om twee fysieke poorten waarlangs aanvallers volledige toegang kunnen krijgen tot het apparaat. Om hier misbruik van te maken is wel fysieke toegang tot de printer vereist. Maar mocht een aanvaller binnenkomen, dan kunnen data gestolen worden.

De tweede kwetsbaarheid is een buffer overflow-fout in de font parser, die het CVE-nummer 2021-39238 heeft gekregen. Een aanvaller kan via deze fout op afstand eigen code uitvoeren op een kwetsbare HP-printer. Het gat is bovendien 'wormable', wat betekent dat een cybercrimineel vanuit die enkele printer snel in het gehele netwerk kan doordringen.

Patches beschikbaar

De security-onderzoekers die deze kwetsbaarheden hebben ontdekt, leggen op de website van F-Secure uit dat de fouten op diverse manieren te misbruiken zijn. Dit kan bijvoorbeeld door een document af te drukken vanaf een USB-stick of door een gebruiker zover te krijgen om een malafide document af te drukken.

Een andere optie is om een apparaat aan te sluiten op de fysieke LAN-poort of om iets af te drukken vanaf een apparaat van de aanvaller zelf. Voor laatstgenoemde aanvalsscenario moet de smartphone of pc van de aanvaller wel in hetzelfde netwerksegment zitten als de te hacken printer. Maar een exploit kan ook direct vanuit de browser naar de printer gestuurd worden via een HTTP POST naar JetDirect port 9100/TCP.

Haast maken met patchen

HP heeft firmware-updates uitgebracht waarmee de kwetsbaarheden gedicht worden. De beveiligingsonderzoekers van F-Secure raden gebruikers aan deze fixes zo snel mogelijk te installeren. Dit advies om haast te maken, geldt ondanks het feit dat aanvallers best wat vaardigheden en kennis nodig hebben om deze printerkwetsbaarheden te misbruiken. Nu de kwetsbaarheden aan het licht zijn gekomen, weten cybercriminelen immers ook waar ze naar moeten zoeken als ze een organisatie willen aanvallen.

Het bedrijf wijst in een verklaring op een beveiligingsbulletin voor de kwetsbaarheid. "HP houdt het beveiligingslandschap voortdurend in de gaten en wij waarderen werk dat helpt nieuwe potentiële bedreigingen te identificeren. We hebben hier een beveiligingsbulletin voor deze potentiële kwetsbaarheid gepubliceerd. De beveiliging van onze klanten heeft de hoogste prioriteit en wij moedigen hen aan om altijd waakzaam te blijven en hun systemen up-to-date te houden."

F-Secure showt een op afstand te misbruiken kwetsbaarheid in een multifunctional printer van HP:

Update 2 december 2021: HP heeft een statement gegeven, deze is toegevoegd aan het artikel.