16 jaar oud gat onthuld in honderden miljoenen printers

De security-update die HP op 19 mei heeft uitgebracht, is volgens de leverancier voor "een potentiële buffer overflow" in de softwaredrivers "voor bepaalde producten". De uitklapbare lijst van geraakte producten geeft een flinke opsomming van printers; uiteenlopend van HP's LaserJet- en Color Laser-printers via multifunctionals (MFP's) tot aan Samsungs laserprinters en MFP's. Ontdekker SentinelOne heeft het nu ronduit over een ernstig beveiligingsgat, dat mee is gekomen met honderden miljoenen printers. In totaal betreft het 380 verschillende modellen.

Na Dell-driverdebacle

Security-onderzoeker Kasif Dekel van SentinelOne heeft de door hem ontdekte programmeerfout op 18 februari gemeld bij HP. De ontdekking is gedaan toen het SentinelLabs-onderzoeksteam een gloednieuwe HP-printer installeerde, en daarbij een waarschuwing kreeg van de tool Process Hacker. Eerder zijn daarmee een vijftal 12 jaar oude gaten in een Dell-systeemdriver gevonden.

De kwetsbaarheid in HP's printerdrivers overtroeft dit; het is 16 jaar oud. En net als bij de systeemsoftware voor Dell-pc's gaat het om honderden miljoenen apparaten die al die tijd al kwetsbaar zijn. Het daadwerkelijk uitbuiten van die zwakke plekken vereist dan wel dat iemand anders dit heeft ontdekt, vóór SentinelOne en de verantwoorde melding aan HP.

De door het securitybedrijf ontdekte kwetsbaarheid is voorzien van CVE-nummer 2021-3438, wat momenteel nog niet van details is voorzien. Het nummer is namelijk vooraf gereserveerd en wordt pas 'ingevuld' als de publieke onthulling wordt gedaan. Dat gebeurt volgens plan vandaag (20 juli 2021), zo'n twee maanden nadat HP zijn patch heeft uitgebracht. Printerfabrikant Xerox heeft ook op 19 mei zijn update uitgebracht.

Al enkele details

In het informatiebulletin van HP over de security-update valt al wel te lezen dat het gaat om een verhoging van rechten. Dit beveiligingsprobleem is zeer ernstig, het heeft namelijk een score van 8,8 gekregen op de CVSS-kwetsbaarhedenschaal die loopt tot 10. SentinelOne heeft aan AG Connect laten weten dat aanvallers die succesvol misbruik maken dan naar believen nieuwe accounts kunnen aanmaken, eigen programma's kunnen installeren, maar ook gegevens kunnen bekijken, wijzigen, versleutelen en verwijderen.