在多款不同型号惠普打印机中发现两个严重可蠕虫漏洞

近日，据The Hacker News网站报道，网络安全研究人员揭露了影响惠普公司150款多功能打印机（MFP）的两个安全漏洞，攻击者可能会利用这些漏洞来控制易受攻击的设备以此窃取敏感信息，并渗透进企业网络以发起其它攻击。

由F-Secure 实验室的研究人员 Timo Hirvonen 和 Alexander Bolshev于2021年4月29日首次发现并报告给惠普的这两个漏洞，统称为Print Shellz：

CVE-2021-39237（CVSS 评分：7.1）- 影响某些 HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed 打印机的信息泄露漏洞。

CVE-2021-39238（CVSS 评分：9.3）- 影响某些 HP Enterprise LaserJet、HP LaserJet Managed、HP Enterprise PageWide 和 HP PageWide Managed 产品的缓冲区溢出漏洞。

Hirvonen 和 Bolshev 解释说：“漏洞在于设备中的通讯板和解析器，攻击者可以利用它们来获得代码执行权，前者需要物理访问，而后者可通过远程完成。当攻击成功实施后，攻击者以此实现他们的各种目的，包括窃取信息或将受感染的设备作为滩头阵地对企业组织系统进行攻击。”

CVE-2021-39238高达9.3的CVSS评分也源于这是一个“可蠕虫级”的高危漏洞，这意味着它能够被利用来自我传播到受感染网络上的其它多功能打印机设备。

研究人员设想了可能的攻击场景：攻击者可在包含社会工程的钓鱼恶意PDF文档中利用字体解析器漏洞，让目标打印文件。另一种方式是把目标引诱访问至恶意网站，网站会自动在受漏洞影响的的多功能打印机上远程打印含有恶意字体的文档，为攻击者提供设备上的代码执行权，这种攻击手段被称为跨站点打印攻击。

目前惠普公司已在11月初发布了修复补丁，强烈建议受影响的设备立刻安装补丁。除此以外，在日常使用中也建议在默认状态下强制网络分段，并禁用从USB驱动器进行打印。

了解更多更全的精彩网络安全资讯，请关注龙名网。

声明:本文系作者授权龙名社区发表，未经许可，不得转载。

如有侵权，请联系平台删除。