You are here: Home » Aktuelle Meldungen » Meldung
Sorry, this page is not translated yet.
Meldung Nr: RUS-CERT-1512

[HP/LaserJet] Schwachstelle im eingebetteten Webbrowser zahlreicher HP Drucker
(2009-02-09 11:39:27.844686+00) Druckversion

Quelle: http://archive.cert.uni-stuttgart.de/bugtraq/2009/02/msg00047.html

Eine Directory Traversal Schwachstelle im enthaltenen Webserver zahlreicher HP LaserJet-Drucker sowie HP Digital Sender kann von einem Angreifer dazu ausgenutzt werden, beliebige Dateien des Dateisystems des Druckers auszulesen.

Inhalt

Zusammenfassung

  • CVE-2008-4419:
    Betroffen: HP LaserJet 2410, 2420, 2430, 4250, 4350, 9040, 9050, 4345mfp, 9040mfp, 9050mfp
    HP Color LaserJet 4730mfp, 9500mfp
    HP 9200C Digital Sender
    Einfallstor: HP-ChaiSOE/1.0 embedded web server
    Angriffsvoraussetzung:Netzwerk
    Angriffsvektorklasse: remote
    Auswirkung: Informationsleck
    Typ: directory traversal
    Gefahrenpotential: mittel bis hoch
    Workaround: bedingt
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2008-4419

Betroffene Systeme

  • HP LaserJet 2410 mit Firmware vor Version 20080819 SPCL112A
  • HP LaserJet 2420 mit Firmware vor Version 20080819 SPCL112A
  • HP LaserJet 2430 mit Firmware vor Version 20080819 SPCL112A
  • HP LaserJet 4250 mit Firmware vor Version 20080819 SPCL015A
  • HP LaserJet 4350 mit Firmware vor Version 20080819 SPCL015A
  • HP LaserJet 9040 mit Firmware vor Version 20080819 SPCL110A
  • HP LaserJet 9050 mit Firmware vor Version 20080819 SPCL110A
  • HP LaserJet 4345mfp mit Firmware vor Version 09.120.9
  • HP LaserJet 9040mfp mit Firmware vor Version 08.110.9
  • HP LaserJet 9050mfp mit Firmware vor Version 08.110.9
  • HP Color LaserJet 4730mfp mit Firmware vor Version 46.200.9
  • HP Color LaserJet 9500mfp mit Firmware vor Version 08.110.9
  • HP 9200C Digital Sender mit Firmware vor Version 09.120.9

Einfallstor

  • HP-ChaiSOE/1.0 embedded web server

Angriffsvoraussetzung

  • Zugriff auf ein Netzwerk über das der Webserver eines Druckers erreicht werden kann
    (network)

Angriffsvektorklasse

  • über eine Netzwerkverbindung
    (remote)

Auswirkung

  • Auslesen beliebiger Dateien aus dem Dateisystem des Druckers
    (information leak)

Typ der Verwundbarkeit

Gefahrenpotential

  • mittel bis hoch

(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext

Netzwerkfähige HP LaserJet Drucker stellen einen Webserver zur Konfiguration und Zustandsabfrage über das Netz bereit. Auf diesen kann mittels eines Browsers zugegriffen werden, um beispielsweise den Stand der Warteschlange für Druckaufträge einzusehen oder Systemeinstellungen vorzunehmen. Je nach Konfiguration eines Druckers können Benutzer über das Netzwerk, über das auch Druckaufträge gesandt werden, auch auf diesen Webserver zugreifen.

Beschreibung

Die ungenügende Prüfung von URIs, die dem eingebetteten Webserver über einem Browser gesandt werden, kann von einem Angreifer dazu ausgenutzt werden, beliebige Dateien im Dateisystem des Druckers auszulesen. Die Dateien können dabei auch außerhalb des obersten Verzeichnisses des durch den Webserver genutzten Teil des Dateisystems (web root) liegen. Auf diese Weise kann z.B. die Konfiguration des Druckers unautorisiert ausgelesen oder Details über fremde Druckaufträge bis hin zum Inhalt der zu druckenden Dokumente in Erfahrung gebracht werden. Sofern keine Maßnahmen zur Beschränkung des Zugriffs auf das Druckernetzwerk getroffen werden, kann ein solcher Angriff ggf. sogar aus fremden Netzen erfolgen.

Workaround

  • Beschränkung des Zugriffs auf das Netzwerk aus dem der Drucker Aufträge entgegennimmt, bzw. von dem aus auf den eingebetteten Webserver zugegriffen werden kann auf das absolut nötige Minimum
Hinweis: Diese Maßnahmen beheben die Schwachstellen nicht, sie verhindern lediglich ihre Ausnutzung bzw. schränken den Kreis der möglichen Angreifer ein. Ein Workaround sollte nicht als Dauerlösung angewandt werden! Es sollten die empfohlenen Gegenmaßnahmen ergriffen werden, sobald diese verfügbar sind.

Gegenmaßnahmen

Vulnerability ID

(og)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.