Sicherheit: CVE-2023-35175 (bis -35178)

von Ronny Budzinske

Die Taktzahl der von HP gemeldeten Sicherheitslücken bleibt hoch. Nun sind S/W- und Farblaserdrucker der "Laserjet Pro"-Serie betroffen. Es empfiehlt sich dringend eine Aktualisierung auf die aktuelle Firmware "002_2322C", die zum Download zur Verfügung steht. Womöglich funktionieren damit Kartuschen von Drittanbietern nicht mehr.

Erschienen am 3. Juli 2023 bei Druckerchannel.de, 1 Seite(n)

https://www.druckerchannel.de/artikel.php?ID=4870

Schwachstelle mit "hohem" Schweregrad bei HP Laserjet-Druckern

Nachdem HP in diesem Jahr bereits mehrfach "kritische" Lücken in der hochflexiblen "Futuresmart"-Firmware für professionelle "Laserjet Enterprise"- und "Laserjet Managed"-Drucker gefunden und mittlerweile auch geschlossen hat, sind nun die ziemlich stark verbreiteten Modelle der "Laserjet Pro"-Serie "an der Reihe".

Bereits am 22. Juni hat der Drucker-Weltmarktführer insgesamt vier Sicherheitslücken, jeweils mit dem CVSS-Score 8.8 (von höchstens 10.0), veröffentlicht. In Klartext übersetzt werden diese somit offiziell als "hoch" eingestuft - dem zweithöchsten Schweregrad.

Schwachstellen

1. HP-Bulletin HPSBPI03851 (CVE-2023-35175)
2. HP-Bulletin HPSBPI03852 (CVE-2023-35176)
3. HP-Bulletin HPSBPI03853 (CVE-2023-35177)
4. HP-Bulletin HPSBPI03854 (CVE-2023-35178)

Auswirkung

Die Angriffsvektoren sind vielfältig. Über die genaue Herangehensweise, und darüber, ob dies bereits von potenziellen Angreifern ausgenutzt wurden, bleibt HP im vagen. Mögliche Auswirkungen und deren Ursachen werden jedoch knapp skizziert.

• Pufferüberlauf: wenn eine GET-Anforderung zum Scannen von Aufträgen ausgeführt wird.
• Pufferüberlauf und Denial of Service: bei der Nutzung der Funktion "Sichern und Wiederherstellen" über den integrierten Webserver (EWS).
• Stapelbasierter Pufferüberlauf: im Zusammenhang mit dem Compact-Schriftformat-Parser.
• Remote-Codeausführung und/oder Rechteerweiterungen: durch serverseitige Request-Forgery (SSRF) bei Verwendung des Webdienst-Ereignismodells.

Firmwareupgrade

Zur Behebung des Fehlers empfiehlt HP umgehend ein Upgrade auf die aktualisierte Firmwareversion-Version "002_2322C", die für alle betroffenen Drucker- und Multifunktionssysteme (siehe Liste unten) von HP zum Download angeboten werden.

HP-Support (Firmware-Download)