HP warnt vor kritischen Sicherheitslücken in mehr als 100 Inkjet-Modellen

HP hat Firmware-Updates für mehr als Hundert Druckermodelle veröffentlicht. Sie sollen zwei schwerwiegende Sicherheitslücken schließen. Betroffen sind ausschließlich Tintenstrahldrucker. Laut HPs Product Security Response Team (PSRT) sollten die Schwachstellen so schnell wie möglich gepatcht werden.

„Bei bestimmten HP-Inkjet-Druckern wurden zwei Sicherheitsrisiken erkannt. Wenn eine schädliche Datei an ein betroffenes Gerät gesendet wird, kann sie einen Stapel- oder statischen Pufferüberlauf verursachen, der eine Remotecodeausführung ermöglichen könnte“, heißt es in HPs Sicherheitsmeldung.

Angreifbar sind insgesamt 166 Consumer-Modelle und Multifunktionsdrucker für Unternehmen. Sie gehören zu den Modellreihen OfficeJet, DeskJet, Envy, DesignJet und PageWide Pro.

Wahrscheinlich sind vor allem Geräte betroffen, die mit Computernetzwerken verbunden sind. Zu Einzelheiten der Anfälligkeiten machte HP jedoch keine Angaben. Wie die Schwachstellen über das Netzwerk oder gar das Internet ausgenutzt werden können ist von daher unklar. Im zehnstufigen Common Vulnerability Scoring System (CVSS 3.0) sind sie jedoch mit 9,8 Punkten bewertet.

Die Firmwareupdates stellt HP auf seiner Software- und Treiber-Website zur Verfügung. Kunden müssen dort nach ihrem spezifischen Modell suchen, um die passende Firmware herunterzuladen. Einige Drucker verfügen auch über eine integrierte Update-Funktion.

HP zahlt bis zu 10.000 Dollar für Schwachstellen in Druckern

Erst vor wenigen Tagen hatte HP ein Prämienprogramm für Druckerschwachstellen gestartet. Sicherheitsforscher erhalten aus der Ferne Zugriff auf verschiedene Enterprise-Multifunktionsgeräte, um unter anderem auf Firmware-Ebene Schwachstellen zu finden, die Cross Site Scripting, Cross Site Request Forgery oder eine Remotecodeausführung erlauben.

Shivaun Albright, Chief Technologist of Print Security bei HP, hatte zum Start des Programms, das Prämien zwischen 500 und 10.000 Dollar vorsieht, erklärt, HP bewege sich in einer „zunehmend komplexen Welt von Cyberbedrohungen“, in der es immer wichtiger sei, „jede mögliche Ressource zu nutzen“, um schon ab der Firmware für dauerhafte Sicherheit und Vertrauen zu sorgen.