惠普修正了企業(yè)打印機(jī)中嚴(yán)重的代碼執(zhí)行錯誤

HP已經(jīng)發(fā)布了固件補(bǔ)丁來修復(fù)一個安全缺陷，該缺陷允許攻擊者對企業(yè)級打印機(jī)執(zhí)行遠(yuǎn)程代碼執(zhí)行攻擊。

本周早些時候，毛地黃安全研究人員發(fā)布了一份報告，披露了漏洞的技術(shù)細(xì)節(jié)，CVE-2017-2750。

該團(tuán)隊測試了惠普PageWide Enterprise Color MFP 586和HP Color LaserJet Enterprise M553兩款機(jī)型，發(fā)現(xiàn)它們能夠進(jìn)行逆向工程”。在HP固件中發(fā)現(xiàn)的擴(kuò)展文件。

在對代碼進(jìn)行逆向工程之后，研究人員能夠制作并上傳精心制作的固件文件，以發(fā)現(xiàn)簽名驗證在何處進(jìn)行，從而繞過這些保護(hù)。

由于“解決方案DLL簽名驗證不足”，F(xiàn)oxGlove隨后能夠利用這些信息創(chuàng)建惡意軟件，專門利用打印機(jī)范圍的安全弱點來遠(yuǎn)程執(zhí)行代碼。

該安全漏洞于2017年8月21日向惠普公司報告，在CVSS等級中被評為8.1級。

根據(jù)惠普的安全咨詢，該漏洞影響了廣泛的業(yè)務(wù)就緒打印機(jī)，包括惠普彩色激光打印機(jī)企業(yè)M651、惠普彩色激光打印機(jī)M680、惠普激光打印機(jī)企業(yè)Flow MFP M631、惠普PageWide企業(yè)彩色X556等。

在接受ThreatPost網(wǎng)站的采訪時，這家科技巨頭表示，惠普公司“意識到了這個問題”，該補(bǔ)丁現(xiàn)已準(zhǔn)備就緒，可以投入使用。

惠普表示:“升級后的系統(tǒng)不會暴露出這些漏洞，我們鼓勵客戶部署補(bǔ)丁。”

現(xiàn)在已經(jīng)發(fā)布了固件更新來解決這個問題，可以通過固件搜索工具從HP手動下載。毛地黃的項目已經(jīng)發(fā)布在GitHub上。