I ricercatori di sicurezza di F-Secure hanno identificato una vulnerabilità critica (CVE-2021-39238) che colpisce più di 150 stampanti e multifunzione HP LaserJet, LaserJet Managed, PageWide e PageWide Managed. La vulnerabilità consente di causare un buffer overflow nel processore dei font inviando un documento PDF appositamente progettato per la stampa e ottenere l'esecuzione del codice a livello di firmware. Il problema è presente dal 2013 ed è stato risolto negli aggiornamenti firmware pubblicati il 1° novembre (il produttore è stato informato del problema ad aprile).
L'attacco può essere effettuato sia su stampanti collegate localmente che su sistemi di stampa in rete. Ad esempio, un utente malintenzionato potrebbe utilizzare tecniche di ingegneria sociale per costringere un utente a stampare un file dannoso, attaccare una stampante attraverso un sistema utente già compromesso o utilizzare una tecnica simile al "riassociazione DNS", che consente, quando un utente apre un determinato pagina nel browser, per inviare una richiesta HTTP alla porta di rete della stampante (9100/TCP, JetDirect), non disponibile per l'accesso diretto tramite Internet.
Dopo aver sfruttato con successo la vulnerabilità, una stampante compromessa può essere utilizzata come trampolino di lancio per lanciare un attacco a una rete locale, per sniffare il traffico o per lasciare un punto di presenza nascosto per gli aggressori sulla rete locale. La vulnerabilità è adatta anche alla creazione di botnet o alla creazione di worm di rete che scansionano altri sistemi vulnerabili e tentano di infettarli. Per ridurre i danni derivanti dalla compromissione delle stampanti, si consiglia di posizionare le stampanti di rete in una VLAN separata, impedire al firewall di stabilire connessioni di rete in uscita dalle stampanti e utilizzare un server di stampa intermedio separato invece di accedere direttamente alla stampante dalle workstation.
I ricercatori hanno anche identificato un'altra vulnerabilità (CVE-2021-39237) nelle stampanti HP, che consente di ottenere pieno accesso al dispositivo. A differenza della prima vulnerabilità, al problema viene assegnato un livello di pericolo moderato, poiché l'attacco richiede l'accesso fisico alla stampante (è necessario connettersi alla porta UART per circa 5 minuti).
Fonte: opennet.ru