W zabezpieczeniach drukarek HP z serii LaserJet znaleziono błąd, który umożliwia zdalnemu "napastnikowi" przejęcie zdalnej kontroli nad urządzeniem, uzyskanie dostępu do danych, a nawet... jego fizyczne uszkodzenie (poprzez spowodowanie przegrzania).

Lukę w zabezpieczeniach znaleźli dwaj naukowcy z Columbia University - Salvatore Stolfo oraz Ang Cui. Ich zdaniem problem może dotyczyć milionów urządzeń HP LaserJet sprzedanych w ostatnich latach, a także wielu modeli drukarek innych producentów (aczkolwiek na razie potwierdzono go tylko w przypadku sprzętu HP).

HP zareagował oświadczeniem, w którym rewelacje naukowców nazwano "nietrafionymi i rozdmuchanymi". Firma przyznała w nim, że problem z zabezpieczeniami drukarek istnieje, ale jednocześnie podkreśliła, że jak do tej pory żaden klient nigdy nie zgłosił próby wykorzystania owej luki do zaatakowania go.

Przedstawiciele HP zdecydowanie zaprzeczyli też informacji często powtarzanej przez media - jakoby ów błąd umożliwiał wywołanie pożaru urządzenia (poprzez zmodyfikowanie parametrów drukarek i spowodowanie przegrzania). Według nich wszystkie modele z serii LaserJet mają wbudowane zabezpieczenie przed przegrzaniem, w związku z czym wywołanie pożaru nie jest możliwe.

Pośrednio potwierdził to zresztą jeden z odkrywców luki - podczas testów Salvatore Stolfo próbował doprowadzić do zapalenia się urządzenia poprzez zwiększanie temperatury tonera. W pewnym momencie umieszczona w drukarce kartka faktycznie zaczęła się robić brązowa i lekko dymić, ale natychmiast zadziałał mechanizm zabezpieczający i urządzenie zostało wyłączone (ostatecznie więc płomień się nie pojawił).

Co ważne, zdaniem specjalistów problem może dotyczyć również drukarek innych producentów - niewykluczone, że są wśród nich urządzenia, które nie są wyposażone w zabezpieczenie przed przegrzaniem.

Problem wykryty przez Stolfo oraz Cui związany jest z funkcją zdalnego aktualizowania firmware'u drukarek HP (RFU - Remote Firmware Update). Specjaliści wykazali, że zastosowano w niej zbyt słaby mechanizm autoryzacji, co potencjalnie umożliwia "napastnikowi" dostarczenie do drukarki fałszywej aktualizacji. Drukarki nie wymagają cyfrowego podpisania aktualizacji - co sprawia, że każdy, kto będzie dysponował odpowiednimi umiejętnościami i narzędziami, jest w stanie zmodyfikować lub nawet wymazać ich system operacyjny. Można to wykorzystać m.in. do zablokowania urządzenia, kradzieży z niego danych oraz modyfikacji ustawień.

Specjaliści przetestowali trzy popularne urządzenia z serii LaserJet (nie podano nazw modeli) - we wszystkich występował ten sam problem. Z analiz wynika, że nieautoryzowane oprogramowanie można dostarczyć do drukarki np. w formie odpowiednio spreparowanego polecenia drukowania. W większości przypadków wystarczy, że drukarka będzie podłączona do sieci z dostępem do Internetu.

Przedstawiciele HP poinformowali, że firma pracuje już nad aktualizacją rozwiązującą problem.

Źródło: networld.pl