Инженеры компании HP сообщили об обнаружении ИБ-специалистами различных компаний нескольких критических уязвимостей в прошивках принтеров моделей LaserJet, PageWide, OfficeJet и ScanJet.
Наиболее опасный RCE-баг (CVE-2017-2750) был одновременно обнаружен специалистами компаний NTT Security и FoxGlove Security. Уязвимость затрагивает различные модели enterprise-принтеров HP. Полный список уязвимых девайсов можно найти здесь.
Специалисты FoxGlove Security рассказывают, что решили поискать уязвимости в enterprise-решениях HP, после того как компания объявила свои принтеры едва ли не неуязвимыми. Дело в том, что еще в 2015 году HP запустила линейку принтеров, предназначенных для бизнеса, которые якобы были защищены от кибератак гораздо лучше рядовых устройств. В 2016 году компания продолжила развивать эту идею и представила Managed Print Services, также призванные улучшить безопасность и защиту корпоративных клиентов.
Для исследования принтеров HP аналитики FoxGlove Security создали инструмент, который назвали PRET (Printer Exploitation Toolkit). Исходные коды инструмента были опубликованы еще в начале текущего года. Тулкит работает с устройствами HP, Brother, Lexmark, Dell, Samsung, Konica, OKI и Kyocer, и автоматически проводит локальные (USB и LAN) и удаленные (интернет) атаки на принтеры, эксплуатируя при этом известные уязвимости и используя стандартные векторы и методы атак.
В итоге PRET помог специалистам обнаружить сразу ряд проблем, среди которых были: возможность удаленной модификации PostScript (контента в распечатываемых документах); функция сброса к заводским настройкам, которая позволяет атакующему обнулить пароль администратора до дефолтного (а по умолчанию пароля нет вовсе); программная ошибка, из-за которой становится возможным извлечение образа прошивки устройства. Загрузить на устройство вредоносную прошивку не удалось, зато удалось добиться загрузки файлов DLL, посредством которых затем можно осуществить удаленное выполнение кода.
17 ноября 2017 года специалисты HP выпустили исправление для уязвимости CVE-2017-2750, и теперь администраторам рекомендуется как можно скорее установить обновления.
