【误差通告】Print Shellz：HP打印机两个清静误差

宣布时间 2021-12-01

0x00 误差概述

2021年11月30日，，，研究职员果真披露了多款HP多功效打印机（MFP）中的两个清静误差，，，这些误差统称为Print Shellz，，，影响了约莫 150 种HP打印机型号。。。。。

 

0x01 误差详情

image.png

统称为Printing Shellz的两个误差为：

HP MFP信息泄露误差（CVE-2021-39237）

该误差是由袒露的物理端口导致的，，，因此使用该误差需要攻击者外地会见，，，其CVSS评分为7.1，，，涉及如下型号 HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed等。。。。。

HP MFP缓冲区溢出误差（CVE-2021-39238）

该误差的CVSS评分为9.3，，，攻击重漂后低，，，无需特殊权限即可被远程使用，，，且无需与用户交互。。。。。需要注重的是，，，该误差为“可蠕虫式”严重误差，，，涉及如下型号HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed等。。。。。

攻击者可以使用这些误差来获得代码执行权限，，，其中CVE-2021-39237需要物剖析见，，，而CVE-2021-39238可以远程使用。。。。。针对CVE-2021-39238的一个攻击方法涉及跨站打印�。。。。╔SP）攻击，，，以获得设惫亓代码执行权限。。。。。

别的，，，由于CVE-2021-39238可蠕虫使用，，，这意味着攻击者可以使用它来自我复制到受熏染网络上的其他 MFP。。。。。

 

影响规模

这两个误差影响了约莫 150 种HP打印机型号，，，详细受影响型号及固件更新详见参考链接中的HP清静通告。。。。。

 

0x02 处置惩罚建议

现在这些误差已经修复。。。。。鉴于误差的严重性，，，建议用户尽快更新。。。。。

下载链接：

https://support.hp.com/cn-zh/drivers

 

0x03 参考链接

https://support.hp.com/us-en/document/ish_5000383-5000409-16/hpsbpi03749

https://support.hp.com/us-en/document/ish_5000124-5000148-16/hpsbpi03748

https://thehackernews.com/2021/11/critical-wormable-security-flaw-found.html

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-12-01

首次宣布

 

0x05 附录

凯发k8简介

凯发k8公司建设于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。

公司总部位于北京市中关村软件园，，，在天下各省、市、自治区设有分支机构，，，拥有笼罩天下的渠道系统和手艺支持中心，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。

多年来，，，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。


关于凯发k8

凯发k8清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。

关注以下公众号，，，获取全球最新清静资讯：

image.png