Sicherheitslücke in mehreren Druckern von HP

Zahlreiche Druckermodelle mit Ethernetschnittstelle (JetDirect) des Herstellers HP weisen eine Sicherheitslücke auf, durch die aus der Ferne unautorisierter Zugriff auf das System möglich ist. Damit ließe sich nicht nur die Konfiguration auslesen – es wäre auch der Zugriff auf den Zwischenspeicher verarbeiteter Dokumente möglich. Damit könnten Angreifer möglicherweise an vertrauliche Dokumente gelangen.

Ursache des Problems ist eine Directory-Traversing-Schwachstelle, mit der es möglich ist, aus dem Wurzelverzeichnis des eingebauten Webservers (HP-ChaiSOE) auszubrechen und beliebige andere Dateien aufzurufen. Dazu genügt ein Browser. Betroffen sind laut HP LaserJet 2410, 2420, 2430, 4250, 4350, 9040, 9050, 4345mfp, LaserJet 9040mfp, LaserJet 9050mfp, Color LaserJet 4730mfp, Color LaserJet 9500mfp sowie der Scanner 9200C Digital Sender, sofern sie eine verwundbare Firmware aufweisen. Der Hersteller hat Firmware-Updates zur Verfügung gestellt, die die Lücke schließen sollen.

Siehe dazu auch:

• Certain HP LaserJet Printers, HP Color LaserJet Printers, and HP Digital Senders, Remote Unauthorized Access to Files, Bericht von Hewlett Packard
• DDIVRT-2008-19 HP JetDirect Web Administration Directory Traversal, Bericht von Digital Defense

(Daniel Bachfeld) / (dab)