HP, bu hafta bir güvenlik bülteninde, belirli işletme sınıfı yazıcıların ürün yazılımını etkileyen eleştirel-şiddetli bir kırılganlığın yamasının 90 güne kadar süreceğini duyurdu.
Güvenlik sorunu CVE-2023-1707 olarak izlenir ve yaklaşık 50 hp Enterprise LaserJet ve HP Laserjet yönetimli yazıcı modellerini etkiler.
Şirket, CVSS V3.1 standardını kullanarak 10 üzerinden 9.1'lik bir şiddet puanı hesapladı ve bundan yararlanmanın potansiyel olarak bilgi açıklamasına yol açabileceğini belirtti.
Yüksek puana rağmen, savunmasız cihazların FuturesMart ürün yazılımı sürüm 5.6'yı çalıştırması ve IPSEC etkinleştirilmesi gerektiğinden kısıtlayıcı bir sömürü bağlamı vardır.
IPSEC (İnternet Protokolü Güvenliği), uzaktan veya dahili iletişimleri güvence altına almak ve yazıcılar da dahil olmak üzere varlıklara yetkisiz erişimi önlemek için kurumsal ağlarda kullanılan bir IP Network Güvenlik Protokolü paketidir.
FuturesMart, kullanıcıların yazıcıları yazıcıda bulunan bir kontrol panelinden veya uzaktan erişim için bir web tarayıcısından çalıştırmasına ve yapılandırmasına olanak tanır.
Bu durumda, bilgi açıklama kusuru, bir saldırganın savunmasız HP yazıcıları ve ağdaki diğer cihazlar arasında iletilen hassas bilgilere erişmesine izin verebilir.
BleepingComputer, kusurun kesin etkisi hakkında daha fazla bilgi edinmek için HP ile temasa geçti ve satıcı aktif sömürü belirtileri gördü, ancak yayıncılık zamanında hiçbir açıklama almadık.
Aşağıdaki yazıcı modeli CVE-2023-1707'den etkilenmektedir:
HP, güvenlik açığını ele alan bir ürün yazılımı güncellemesinin 90 gün içinde piyasaya sürüleceğini söylüyor, bu nedenle şu anda düzeltme mevcut değil.
Futuresmart 5.6 çalıştıran müşteriler için önerilen azaltma, ürün yazılımı sürümlerini FS 5.5.0.3'e düşürmektir.
Kullanıcıların, yazılım paketini HP’nin resmi indirme portalından kaynaklamaları önerilir ve burada yazıcı modellerini seçebilir ve ilgili yazılımı alabilirler.
GÜNCELLEME 4/5 - Bir HP sözcüsü BleepingComputer'a aşağıdaki yorumu gönderdi:
Bu potansiyel güvenlik açığı için maruz kalma süresi çok küçüktü (Şubat 2023'ün ortasına kadar Mart 2023 sonuna kadar) ve sadece ürün yazılımının belirli bir sürümünde mevcuttu (Futuresmart sürümü 5). Müşteriler artık bu potansiyel güvenlik açığı olan ürün yazılımı sürümünü indiremezler.
Bu kısa dönemde, bir müşteri IPSEC kullanıyorsa, yazıcıdan gönderilen tarama iş verileri (örn., E-posta veya tarama-sharepoint tarama) potansiyel olarak açıklanabilir.
Veriler yalnızca kullanıcılar bir işi tararsa ve uzak bir konuma (e -posta, SharePoint vb.) Gönderiyorsa potansiyel olarak ortaya çıktı. TL'ler veya altta yatan diğer şifreleme mekanizmaları tarafından korunmadıkları takdirde kimlik bilgileri potansiyel olarak maruz kalabilirdi.
Bu sorun kendi testlerimiz sırasında HP tarafından keşfedildi ve hemen harekete geçti. HP herhangi bir aktif istismarın farkında değildir.
Android ve iOS sızdırılmış e -posta adresleri, işlemler için para aşığı
CISA Kev kusurlarına karşı savunmasız 15 milyon halka açık hizmet
3CX Saldırı'nda kullanılmış 'Sabit' Fix ile 10 yaşındaki Windows Hatası
Hackers, Elementor Pro WordPress eklentisinde 11m yüklemelerle sömürül
WiFi Protokolü Kusur, saldırganların ağ trafiğini ele geçirmesine izin verir
Kaynak: Bleeping Computer