打印机经常参与敏感数据驻留在企业网络,使他们有吸引力的目标。
今年秋天,惠普公司发表了一篇文章描述一个缓冲区溢出漏洞的打印机的软件将允许攻击者获得持久的远程代码执行的打印机。缓冲区溢出漏洞是很常见的,但这一个值得注意的是,它可以被恶意第三方利用远程打印机墨盒。
在打印机的生态系统,是一个大型的第三方市场,供应碳粉、墨盒等销售比官方HP-branded同行以更低的成本。这些第三方供应包含可更新、可重复编程的芯片设计,以确保如果OEM更新打印机,墨盒可以为最终用户保持兼容,功能。然而,这种灵活性可以被攻击者利用如果最佳安全实践不是用来防止恶意参与者在墨盒上安装恶意软件。
恶意墨盒或供应可以攻击通信接口的打印机控制打印机本身。的缓冲区溢出漏洞中发现惠普打印机(cve - 2022 - 28722),可以利用该漏洞在筒之间的串行通信接口和打印机。
这样的攻击,一个可能的场景不需要攻击者有物理访问打印机本身是一个办公室免费运墨盒作为促销的一部分注入恶意软件的攻击者。一旦这些恶意墨盒安装,会利用缓冲区溢出漏洞控制打印机本身。打印机经常参与敏感数据驻留在企业网络,使他们有吸引力的目标坏蛋想漏出机密数据或执行进一步的攻击。
惠普发现这个漏洞通过他们的错误赏金计划,开始看攻击表面暴露于潜在的恶意第三方2020年墨盒。Riscure经常看着物理接口组件之间有不同的信任级别在嵌入式设备的安全评估。常见的例子是攻击主机通过UART暴露或调试界面,修改外部闪存和拦截和修改在I2C串行通信或SPI总线暴露在董事会层面。
通常当这些攻击向量是假设的物理访问目标是必需的,使这些较低优先级的考试相比,攻击表面提供的网络接口。第三方打印机耗材的独特的生态系统需要重新审视这些优先事项由打印机oem厂商。我们建议处理打印机和供应之间的通信的代码审查漏洞除了执行测试假设下的设备本身的任何输入供应是不可信的。oem厂商也应该评估他们自己的安全供应对恶意修改。
惠普已经修补缓冲区溢出漏洞的固件更新,鼓励顾客继续他们的系统更新。然而,这篇文章提到客户依赖第三方供应往往是对方的动机没有更新打印机担心将不再供应函数。
|
|
|
|
|
|
|
|
留下一个回复