Sicherheit: HP Laserjet, Pagewide und Scanjet
von Ronny Budzinske
Erschienen am 23. Februar 2024 bei Druckerchannel.de, 1 Seite(n)
https://www.druckerchannel.de/artikel.php?ID=4996
Schwachstelle bei Druckern und Scannern mit "FutureSmart"-Firmware sowie der neuen 4202/4302-Serie
Nach Canon und Lexmark meldet nun auch HP zwei Sicherheitslücken in vielen professionellen Laserdruckern, älteren Pagewide-Modellen und Dokumentenscannern. Die beiden Lücken sind mit einem CVSS-Wert von 6,8 und 8,6 bewertet und somit als "hoch" eingestuft.
Betroffen: Neben fast allen professionellen Druckern und Scannern der Enterprise, Managed und Flow-Serien sind auch die aktuellen Mittelklasse-Farblaser der 4000er-Serie anfällig.
Bei der CVE-2024-0794
(CVSS-Score 8,6, "hoch") kann Schadcode auf den Geräten ausgeführt werden, der durch manipulierte PDF-Dokumente eingeschleust wird. Aufgrund eines Fehlers im PDF-Parser bei der Verarbeitung von eingebetteten Schriftarten kann es zu einem ungeplanten Speicherüberlauf kommen.
Bei der CVE-2024-0407 (CVSS-Score 6,8, "hoch") gibt es eine potentielle Anfälligkeit für die Offenlegung von Informationen bei "vom Gerät hergestellte Verbindungen zu Diensten, die von einigen Lösungen aktiviert wurden", obwohl das hinterlegte CA-Zertifikat
nicht als vertrauenswürdig eingestuft wurde.
Betroffene Druckerserien
Von beiden Sicherheitslücken sind fast alle professionellen Modellserien mit "FutureSmart"-Firmware betroffen. Die Ausführung von Fremdcode aufgrund eines fehlerhaften PDF-Parsers ist zudem auch bei den aktuellen "Laserjet Pro"-Farblasern der 4000er-Serie möglich.
Auswahl betroffener Geräteserien
- HP Laserjet Enterprise
- HP Laserjet Managed
- HP Color Laserjet Enterprise
- HP Color Laserjet Managed
- HP Pagewide Enterprise
- HP Pagewide Managed
- HP Scanjet Enterprise
- HP Scanjet Flow
- HP Color LaserJet Pro 4202-Serie
- HP Color LaserJet Pro MFP 4302-Serie
Firmwareupdate steht zur Verfügung
Um die betroffenen Drucker wieder sicherzumachen, bietet HP eine aktualisierte Firmware an. Eine Installation ist über einen Download, dem Geräte-Administrator oder aber bei einigen Geräten auch direkt über das Bedienpanel möglich.
| Übersicht der Schwachstellen | |||
|---|---|---|---|
| Einstufung (nach CVSS v3 von 0,1 bis 10,1) | Beschreibung | Betroffene Drucker | |
| HPSBPI03917 | Stufe 6,8 "hoch" CVE-2024-0407 | Offenlegung von Informationen ohne gültiges Zertifikat | LaserJet/Pagewide/Scanjet Managed, Enterprise oder Flow mit Futuresmart-Firmware behoben ab Firmware: "FS 5.7.1.1" |
| HPSBPI03918 | Stufe 8,6 "kritisch" CVE-2024-0794 | Fremdcodeausführung durch Fehler im PDF-Parser (beim Umgang mit eingebetteten Schriften) | LaserJet/Pagewide/Scanjet Managed, Enterprise oder Flow mit Futuresmart-Firmware behoben ab Firmware: "FS 5.7.1.1" Color Laserjet Pro 4202-Serie, MFP 4302-Serie, behoben ab Firmware "6.17.2.2" |
| Copyright Druckerchannel.de | |||