مرکز آپا دانشگاه کردستان

آسیب‌پذیری بحرانی جدید چاپگرهای چندکاره HP

محققین امنیت سایبری چند آسیب‌پذیری بحرانی سرریز بافر را کشف کردند که بر 150 مدل مختلف چاپگر چندکاره HP (MFP) تأثیر می‌گذارد. در اصل این آسیب‌پذیری‌ها می‌توانند توسط مهاجمان برای کنترل دستگاه‌های آسیب‌پذیر و سرقت اطلاعات حساس از شبکه‌های سازمانی مورد سوء استفاده قرار گیرند. این مشکلات به سال 2013 برمی‌گردد و HP آنها را در نوامبر برطرف کرد. این شرکت از تیمو هیروونن و الکساندر بولشف، محققین F-Secure Labs به خاطر گزارش این آسیب‌پذیری‌ها در 29 آوریل 2021 تشکر و قدردانی کرد. این آسیب پذیری با دو شناسه CVE-2021-39237 - CVE-2021-39238 قابل پیگیری هستند. شناسه CVE-2021-39238 با امتیاز 9.3 از 10 با درجه حساسیت بحرانی و شناسه CVE-2021-39237 که با امتیاز 7.1 از 10 با درجه حساسیت بالا ثبت شده است. شناسه (CVSS score: 9.3) CVE-2021-39238 یک آسیب‌پذیری سرریزبافر (Bufferoverloop) که در برخی از محصولات HP Enterprise LaserJet، HP LaserJet Managed، HP Enterprise PageWide و HP PageWide Managed تأثیر می‌گذارد. شناسه (CVSS score: 7.1) CVE-2021-39237 مربوط به یک آسیب‌ پذیری افشای اطلاعات که بر برخی از چاپگرهای HP LaserJet، HP LaserJet Managed، HP PageWide و HP PageWide Managed تأثیر می‌گذارد. برای دیدن ویدیو نحوه بهربرداری از چاپگرهای HP میتوانید به این لینک مراجعه کنید: https://vimeo.com/642270739 همچنین محققان F-Secure خاطرنشان کردند: " ما چندین اشکال قابل بهره برداری (exploitable) را در یک چاپگر چند کاره HP (MFP) پیدا کردیم. نقص ها در برد ارتباطات و تجزیه کننده فونت واحد است. یک مهاجم می تواند از آنها برای به دست آوردن اجرای کد سوء استفاده کند، که اولی نیاز به دسترسی فیزیکی دارد در حالی که دومی می تواند از راه دور انجام شود. یک حمله موفقیت‌آمیز به مهاجم اجازه می‌دهد تا به اهداف مختلفی از جمله سرقت اطلاعات یا استفاده از ماشین آسیب‌دیده به‌عنوان حملات آینده علیه یک سازمان دست یابد." در اینجا، تمام سناریوهای حمله احتمالی را ذکر کرده ایم: - گرفتن چاپ از درایوهای USB. - چاپ یک سند مخرب توسط یک کاربر. - اتصال مستقیم به پورت LAN فیزیکی برای چاپ. - چاپ از دستگاه دیگری که تحت کنترل مهاجم و در همان بخش شبکه است. - چاپ بر روی سایت Cross-site printing (XSP). - حمله مستقیم از طریق پورت های UART. تهیه و تدوین: پدارم قاسمی