Pesquisadores de segurança da F-Secure identificaram uma vulnerabilidade crítica (CVE-2021-39238) que afeta mais de 150 impressoras e multifuncionais HP LaserJet, LaserJet Managed, PageWide e PageWide Managed. A vulnerabilidade permite causar um estouro de buffer no processador de fontes, enviando um documento PDF especialmente projetado para impressão e executando seu código no nível do firmware. O problema está presente desde 2013 e foi corrigido em atualizações de firmware publicadas em 1º de novembro (a fabricante foi notificada do problema em abril).
O ataque pode ser realizado tanto em impressoras conectadas localmente quanto em sistemas de impressão em rede. Por exemplo, um invasor pode usar técnicas de engenharia social para forçar um usuário a imprimir um arquivo malicioso, atacar uma impressora através de um sistema de usuário já comprometido ou usar uma técnica semelhante à “religação de DNS”, que permite, quando um usuário abre um determinado página no navegador, para enviar uma solicitação HTTP à porta de rede da impressora (9100/TCP, JetDirect), não disponível para acesso direto pela Internet.
Após a exploração bem-sucedida da vulnerabilidade, uma impressora comprometida pode ser usada como trampolim para lançar um ataque em uma rede local, para detectar tráfego ou para deixar um ponto de presença oculto para invasores na rede local. A vulnerabilidade também é adequada para construir botnets ou criar worms de rede que verificam outros sistemas vulneráveis e tentam infectá-los. Para reduzir os danos causados pelo comprometimento da impressora, recomenda-se colocar as impressoras de rede em uma VLAN separada, restringir o firewall de estabelecer conexões de rede de saída das impressoras e usar um servidor de impressão intermediário separado em vez de acessar diretamente a impressora a partir das estações de trabalho.
Os pesquisadores também identificaram outra vulnerabilidade (CVE-2021-39237) nas impressoras HP, que permite obter acesso total ao dispositivo. Ao contrário da primeira vulnerabilidade, o problema recebe um nível moderado de perigo, pois o ataque requer acesso físico à impressora (você precisa se conectar à porta UART por cerca de 5 minutos).
Fonte: opennet.ru