【误差通告】Print Shellz：HP打印机两个清静误差

宣布时间 2021-12-01

0x00 误差概述

2021年11月30日，，， ，，，，研究职员果真披露了多款HP多功效打印机（MFP）中的两个清静误差，，， ，，，，这些误差统称为Print Shellz，，， ，，，，影响了约莫 150 种HP打印机型号。。。

 

0x01 误差详情

image.png

统称为Printing Shellz的两个误差为：

HP MFP信息泄露误差（CVE-2021-39237）

该误差是由袒露的物理端口导致的，，， ，，，，因此使用该误差需要攻击者外地会见，，， ，，，，其CVSS评分为7.1，，， ，，，，涉及如下型号 HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed等。。。

HP MFP缓冲区溢出误差（CVE-2021-39238）

该误差的CVSS评分为9.3，，， ，，，，攻击重漂后低，，， ，，，，无需特殊权限即可被远程使用，，， ，，，，且无需与用户交互。。。需要注重的是，，， ，，，，该误差为“可蠕虫式”严重误差，，， ，，，，涉及如下型号HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed等。。。

攻击者可以使用这些误差来获得代码执行权限，，， ，，，，其中CVE-2021-39237需要物剖析见，，， ，，，，而CVE-2021-39238可以远程使用。。。针对CVE-2021-39238的一个攻击方法涉及跨站打�。。。╔SP）攻击，，， ，，，，以获得设惫亓代码执行权限。。。

别的，，， ，，，，由于CVE-2021-39238可蠕虫使用，，， ，，，，这意味着攻击者可以使用它来自我复制到受熏染网络上的其他 MFP。。。

 

影响规模

这两个误差影响了约莫 150 种HP打印机型号，，， ，，，，详细受影响型号及固件更新详见参考链接中的HP清静通告。。。

 

0x02 处置惩罚建议

现在这些误差已经修复。。。鉴于误差的严重性，，， ，，，，建议用户尽快更新。。。

下载链接：

https://support.hp.com/cn-zh/drivers

 

0x03 参考链接

https://support.hp.com/us-en/document/ish_5000383-5000409-16/hpsbpi03749

https://support.hp.com/us-en/document/ish_5000124-5000148-16/hpsbpi03748

https://thehackernews.com/2021/11/critical-wormable-security-flaw-found.html

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-12-01

首次宣布

 

0x05 附录

百乐博简介

百乐博公司建设于1996年，，， ，，，，并于2010年6月23日在深交所中小板正式挂牌上市，，， ，，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。

公司总部位于北京市中关村软件园，，， ，，，，在天下各省、市、自治区设有分支机构，，， ，，，，拥有笼罩天下的渠道系统和手艺支持中心，，， ，，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。

多年来，，， ，，，，百乐博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，， ，，，，资助客户周全提升其IT基础设施的清静性和生产效能，，， ，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。


关于百乐博

百乐博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。

关注以下公众号，，， ，，，，获取全球最新清静资讯：

image.png