HP geeft kritieke firmware-updates uit voor 2 kwetsbaarheden bij het uitvoeren van externe code die van invloed zijn op 166 printermodellen

Inkjet-groothandelblog

HP bood een geldprijs van $ 100.000 aan onderzoekers die een paar dagen geleden kwetsbaarheden in zijn printerproducten konden vinden, en het lijkt erop dat twee specifieke rapporten hun aandacht trokken, aangezien het bedrijf firmware-updates heeft uitgebracht voor twee kritieke bugs. HP waarschuwt dat honderden van zijn inkjetprinters kwetsbaar zijn voor twee kwetsbaarheden voor het uitvoeren van externe code. Gebruikers moeten hun firmware onmiddellijk bijwerken om de gevolgen van deze ernstige kwetsbaarheden te beperken.

Volgens HP's Support Communication Security Bulettin kan een kwaadwillig vervaardigd bestand dat naar de getroffen HP-printers wordt gestuurd, een stack of statische bufferoverloop veroorzaken die de weg zou kunnen effenen voor het uitvoeren van externe code. De beveiligingslabels die aan deze kwetsbaarheden zijn toegewezen, zijn CVE-2018-5924 en CVE-2018-5925 . Beide kwetsbaarheden hebben kritische CVSS 3.0-basisscores van 9,8 ontvangen.

HP is er trots op het enige bedrijf te zijn dat zulke grote prijzen uitreikt voor de ontdekking van kwetsbaarheden in zijn printerlijn. Na het incidentrapport (hoe en wanneer dat ook was), heeft het team van HP ijverig gewerkt om updates vrij te geven om de risico's te beperken. De leidinggevenden bij HP hebben verklaringen afgegeven waarin ze trots zijn op de inspanningen van hun team en de prestaties van hun bedrijf.

Het is onduidelijk of deze kwetsbaarheden via het programma zijn gemeld of dat HP hiervan vooraf op de hoogte was. Door de timing lijkt het echter alleen alsof dit het resultaat is van de premiejacht. Hoe dan ook, HP heeft standgehouden als de zelfbenoemde 's werelds meest veilige printprovider door patches vrij te geven ruim voordat er misbruik werd gemaakt van de bekende kwetsbaarheden.

Een lijst met 166 betrokken printertypen en -modellen voor persoonlijk gebruik en bedrijfsnetwerk, wordt onder aan HP's gepubliceerd beveiligingsbulletin . Deze modellen bevatten een breed scala aan OfficeJet-, DeskJet-, Envy-printers, DesignJet- en PageWide Pro-apparaten. Bijbehorende firmware-updates zijn ook vermeld naast de modelnummers. Eigenaren van HP-printers wordt verzocht hun firmware onmiddellijk bij te werken om de gevolgen van de twee kwetsbaarheden voor het uitvoeren van externe code te vermijden.