惠普企业级打印机出现严重漏洞，涉及 50 余种机型
近日，惠普在一份安全公告中宣布，修复影响某些企业级打印机固件的严重漏洞最多需要 90 天。 该安全问题被追踪为 CVE-2023-1707，它影响了大约 50 种 HP Enterprise LaserJet 和 HP LaserJet Managed Printers 型号。 该公司使用 CVSS v3.1 标准计算出的严重性得分为 9.1（满分 10），并指出利用该标准可能会导致信息泄露。 尽管得分很高，但由于易受攻击的设备需要运行 FutureSmart 固件版本 5.6 并启用 IPsec，因此存在利用环境受限的情况。 IPsec（Internet 协议安全）是用于企业网络的 IP 网络安全协议套件，用于保护远程或内部通信并防止未经授权访问资产（包括打印机）。 FutureSmart 允许用户通过打印机上可用的控制面板或用于远程访问的 Web 浏览器来工作和配置打印机。 在这种情况下，信息泄露漏洞可能允许攻击者访问易受攻击的 HP 打印机与网络上其他设备之间传输的敏感信息。 BleepingComputer 媒体已联系HP官方以了解有关该缺陷的确切影响的更多信息，以及供应商是否看到了积极利用的迹象，但目前还没有收到任何声明。 以下打印机型号受 CVE-2023-1707 影响： HP Color LaserJet Enterprise M455 HP Color LaserJet Enterprise MFP M480 HP Color LaserJet Managed E45028 HP Color LaserJet Managed MFP E47528、 E785dn、E78523、E78528 HP Color LaserJet Managed MFP E786、HP Color LaserJet Managed Flow MFP E786、HP Color LaserJet Managed MFP E78625/30/35、HP Color LaserJet Managed Flow MFP E78625/30/35 HP Color LaserJet Managed MFP E877、E87740/50/60/70、HP Color LaserJet Managed Flow E87740/50/60/70 HP LaserJet Enterprise M406、M407 HP LaserJet Enterprise MFP M430、M431 HP LaserJet Managed MFP E42540 HP LaserJet Managed MFP E730、HP LaserJet Managed MFP E73025、E73030 HP LaserJet Managed MFP E731、HP LaserJet Managed Flow MFP M731、HP LaserJet Managed MFP E73130/35/40、HP LaserJet Managed Flow MFP E73130/35/40 HP LaserJet Managed MFP E826dn、HP LaserJet Managed Flow MFP E826z、HP LaserJet Managed E82650/60/70、HP LaserJet Managed E82650/60/70 惠普表示，解决该漏洞的固件更新将在 90 天内发布，因此目前没有可用的修复程序。 对于运行 FutureSmart 5.6 的客户，建议的缓解措施是将其固件版本降级到 FS 5.5.0.3。 “惠普建议立即恢复到以前版本的固件（FutureSmart 版本 5.5.0.3）。预计将在 90 天内更新固件以解决该问题。” 惠普官方声明。 此外，还建议用户从HP 官方下载门户获取固件包，在那里他们可以选择自己的打印机型号并获取相关软件。 转自 E安全，原文链接：https://mp.weixin.qq.com/s/TZbfXTbo3f4uK-fD4IPV3Q 封面来源于网络，如有侵权请联系删除
惠普推送 BIOS 更新 解决影响 200 多个计算机型号的高危漏洞
你是否拥有一台惠普笔记本电脑、台式机或PoS PC？那么你可能需要确保其BIOS是最新的。该公司刚刚为200多个设备型号发布了更新，修复了UEFI固件中的两个高严重级别漏洞。据Bleeping Computer报道，惠普已经就潜在的安全漏洞发出警告，这些漏洞可能允许以内核权限执行任意代码，这将使黑客能够进入设备的BIOS并植入恶意软件，而这些恶意软件无法通过传统的杀毒软件或重新安装操作系统来清除。 这两个漏洞–CVE-2021-3808和CVE-2021-3809–的CVSS 3.1基本得分都是8.8分的高严重程度。 惠普公司没有透露关于这些漏洞的任何技术细节。这一点留给了安全研究员尼古拉斯-斯塔克，他发现了这些漏洞。 斯塔克写道：”这个漏洞可能允许攻击者以内核级权限（CPL==0）执行，将权限提升到系统管理模式（SMM）。在SMM模式下执行操作，攻击者就可以获得对主机的全部权限，从而进一步实施攻击。” Starke补充说，在一些惠普机型中，有一些缓解措施需要被绕过才能使漏洞发挥作用，包括惠普的Sure Start系统，该系统可以检测到固件运行时间被篡改的情况。 受该漏洞影响的设备相当广泛，包括商务笔记本电脑，如Elite Dragonfly、EliteBooks和ProBooks；商务台式电脑，包括EliteDesk和EliteOne；零售点专用电脑，如Engage；台式工作站电脑（Z1、Z2系列）；还有四个瘦客户端电脑。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1268631.htm 封面来源于网络，如有侵权请联系删除
惠普解决了 16 个影响笔记本电脑、台式机、PoS 系统的 UEFI 固件缺陷
近期，网络安全公司Binarly研究人员发现16个影响惠普企业设备的统一可扩展固件接口高危漏洞。攻击者可以利用这些漏洞植入固件，使其能够在操作系统更新后继续存在并绕过 UEFI安全启动、Intel Boot Guard和基于虚拟化的安全性。受影响的设备包括多个惠普企业设备，如笔记本电脑、台式机、销售点系统和边缘计算节点。 根据Binarly的分析，通过这些泄露的漏洞，攻击者可以在运行的系统中利用它们在固件中执行特权代码，这些代码不但在操作系统重新安装后仍然存在，且允许绕过端点安全解决方案 (EDR/AV) 、安全启动和基于虚拟化的安全隔离。” 以下是研究人员发现的漏洞列表： Binarly研究人员认为，本根原因在于缺乏利用固件的常识才是导致此次影响行业的漏洞事件的根本原因，Binarly创始人兼首席执行官Alex Matrosov说：“研究人员也表示正在努力通过提供全面的技术细节来填补这一缺陷。毕竟这对开发有效的设备安全缓解措施和防御技术至关重要。” 研究人员发现的最严重的漏洞是通过损害内存达到影响固件的系统管理模式，攻击者可以触发他们以获取最高权限执行任意代码。日前惠普已经通过2月份发布的HP UEFI固件2022年2月安全更新解决了这些缺陷。 参考来源：https://securityaffairs.co/wordpress/128838/hacking/hp-uefi-firmware-flaws.html （封面及消息来源：FreeBuf.COM）
惠普打印机被发现偷偷回传数据：隐藏极深
在打印机行业，惠普可以说是霸主级别的存在，但是软件工程师Robert Heaton近日却发现，惠普打印机会将部分用户数据回传给惠普，默认开启，而且隐藏相当深。 据发现，在惠普打印机的安装过程中，有一个很难为人注意的“数据搜集通知与设置”(Data Collection Notice & Settings)，惠普在其中声明会尝试搜集用户的相关打印情况，并传回给惠普，目的是改善广告、用户体验。 但是，惠普故意将传回数据类型的选择隐藏了起来，如果不是特别细心、特别懂技术，几乎不可能发现，而且这个“功能”是默认开启的，等于几乎所有用户在使用惠普打印机的时候，都在无意中将自己的相关数据交给了惠普。 惠普打印机会搜集所有产生文档的应用的相关数据，基本上你打印的所有类型文档(txt/doc/jpg/pdf等等)、时间戳、文档体积、使用报告等等，都在其中。 惠普在隐私政策中也强调了，惠普不会扫描用户打印文档的具体内容，只是相关特性和规格。 但是这种后台偷偷搜集数据的行为，让你的打印行为毫无隐私可言，仍然让人不寒而栗。 （稿源：快科技，封面源自网络。）
惠普将向黑客支付高达 1 万美元赏金以寻找其打印机漏洞
周二，惠普宣布了第一个专门针对其打印机的 bug 赏金计划，为能够在其机器上发现漏洞的黑客提供高达1万美元的奖励。Bug 赏金是公司发现安全漏洞的常见方式，对于严重漏洞酬金支付可高达 10 万美元。在恶意使用漏洞之前，黑客已经能够在大公司获得一个全职工作来软件并报告错误。像谷歌和 Facebook 这样的公司已经将漏洞奖金作为加强其产品安全性的一种方式。 惠普在5月份悄然启动了计划，有 34 名研究人员报名参加。该公司负责打印机安全的首席技术专家 Shivaun Albright 上周接受采访时说，它已经向一名发现其打印机存在严重缺陷的黑客支付了 1 万美元。她说，由于物联网设备的漏洞，该公司专注于打印机安全性。 Albright 说，虽然人们非常关注连接设备及其安全漏洞，但它通常用于网络摄像头，智能电视或灯泡，而不是打印机。惠普技术专家指出，打印机可能是人们拥有的最古老，最常见的物联网设备。它们已经存在了很长一段时间，甚至在“物联网“一词出现之前，问题是，为什么客户不将打印机视为物联网？ 2016 年，Mirai 僵尸网络 – 一个庞大的黑客攻击设备网络，曾经在网上造成严重破坏 – 导致网络中断，导致 Twitter，Netflix 和 Reddit 等热门网站遭遇破坏。 Albright 说，僵尸网络使用黑客入侵的物联网设备，如网络摄像头和 DVR，但打印机也是这种组合的一部分。 HP 的 bug 赏金计划将通过 Bugcrowd 运行，这是一个促进支付和邀请的平台。该程序目前是私有的，邀请研究人员加入。奥尔布赖特表示惠普有意将其公开，但目前仍在关闭状态以更好地管理发现的漏洞。受邀研究人员可以从他们家里的电脑上远程访问 15 台打印机，这些打印机在惠普的办公室中被隔离，他们可以窥探这些打印机，找到隐藏的漏洞。Albright 表示，对于 1 万美元的支付，研究人员必须找到严重的缺陷，例如远程代码执行，这将允许攻击者完全控制打印机。如果他们发现并报告任何缺陷，HP 将支付他们的发现费用，然后在下次更新时开始修复。 稿源：cnBeta.COM，封面源自网络；
惠普两款企业打印机存在一处高危远程代码执行漏洞
HackerNews.cc 11 月 22 日报道，网络安全公司 FoxGlove 研究人员近期在惠普部分企业的打印机中发现一处高危漏洞，允许黑客入侵目标系统后远程执行恶意代码。 知情人士透露，惠普在设计安全打印系统方面投入了大量精力，其公司早于 2015 年就已推出企业级 LaserJet 打印机，并在后续不同时间内陆续推出多项安全性能改进。据悉，这家科技巨头曾声称提供了“全球最安全的打印服务”，而且还发布了一项调查报告，指出其他供应厂商的打印设备极易遭受黑客攻击并会对企业造成重大损失。 研究人员表示，他们主要使用了一款由德国鲁尔大学安全专家开发的黑客工具 PRET（PRinter Exploitation Toolkit）通过 HP PageWide Enterprise 586dn 和 HP LaserJet Enterprise M553n 两款多功能打印机的操作系统与设备固件进行了一项逆向渗透测试。据称，这款黑客工具曾用于检测戴尔、兄弟、Konica、三星、HP、OKI 和 Lexmark 等 20 余款打印设备是否存在安全漏洞。 PRET 工具的神奇之处在于查找路径漏洞时不仅可以规避安全检测、访问任何打印内容（包括受 PIN 码保护的内容），还可用于发现操控打印内容的安全漏洞后将其设备恢复出厂设置。 研究团队在分析了固件更新与 HP 软件解决方案后发现可以利用 OXP 平台和 SDK 来扩展打印设备功能。不过，该解决方案和固件更新必须经过数字签名的单个 .BDL 文件提供。此外，由于签名验证需要安全检测，因此 FoxGlove 研究人员未能成功将恶意固件上传至目标设备。但是，他们设计了其他攻击媒介用于破解签名验证并设法上传恶意 DLL 文件后执行任意代码。 目前，惠普已收到 FoxGlove 研究人员在测试期间所使用的工具源代码以及漏洞概念验证（PoC）报告，并表示将于本周发布安全更新，修复漏洞补丁。 消息来源：securityaffairs.co ，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
惠普允许俄罗斯审查五角大楼所用安全系统的源代码
据外媒报道，惠普公司（HPE）允许俄罗斯政府审查其 ArcSight 网络安全软件的源代码。而五角大楼正好是用这套系统保护他们的计算机网络。获悉，HPE 允许俄罗斯审查该系统代码是其获得向俄罗斯私营企业销售产品的条件之一。 路透社最先发现了这一情况。然而，这种行为并不违法，目前还没有法律规定企业不能同外国政府共享源代码以赢得合同。据了解，俄罗斯政府对 HPE 系统代码审查正好发生在美国指责俄罗斯向其发起了多起网络攻击期间。HPE 早前也曾将代码分享给过俄罗斯，并且不止它，包括思科、IBM、SAP 在内的大量美国公司也都通过这种方式来获取外国合同。 据 ArcSight 的一位前安全构架师称，这种代码共享的行为如同给对手一个内部访问和潜在攻击的机会。获悉，一家叫做 Echelon 的公司代表俄罗斯联邦技术与出口管制服务部门展开审查工作。对此，HPE 表示，俄罗斯并未在代码中发现后门漏洞，而他们也不允许有人将源代码带出安全大楼。 稿源：cnBeta，封面源自网络；
美斥资 2.58 亿美元研发超级计算机，旨在赶超中国
据科技博客 The Verge 6 月 16 日报道，为了在超级计算机研发领域赶超中国，美国能源部于 15 日向惠普企业（ HPE ）、Cray、AMD、英特尔、IBM 和英伟达等公司资助总计 2.58 亿美元的资金，旨在帮助这些企业开发亿亿次级（ Exascale ）的超级计算机系统。 按照合同，这笔 2.58 亿美元的扶持资金将在未来三年内拨付，而且每家公司同意承担 40% 的研发成本，这意味着该项目的总研发成本将达到 4.3 亿美元。工程师们正在集中精力研究如何能够提高这些机器的能源效率，同时提高系统的整体记忆性能水平。他们预测，他们需要的超级计算系统要比现在最好的系统原型产品运算速度快出 10 倍。此外，本次 2.58 亿美元的资金扶持，并非美国能源局在全球超级计算机军备竞赛中的首次投资。2011 年，它与 Cray 和英伟达签订了一份价值 9700 万美元的独立合同，用于建造世界上速度最快的超级计算机 “ 泰坦（Titan）”。 尽管美国能源部的目标是在 2021 年至少开发出一套能达到亿亿次级的超级计算机系统，但就目前而言，美国的超级计算机模型仍处于落后状态。目前排名前两位的超级计算机都来自中国，排名第一的是位于中国无锡国家超级计算中心的 “ 神威太湖之光 ”，它的运算能力达到每秒 93.01 千万亿次；仅次于它的是位于中国广州国家超级计算机中心的 “ 天河二号 ”，它的运算能力为每秒 33.86 千万亿次；而美国的超级计算机系统 “ 泰坦 ” 仅排名第三。 稿源：cnBeta，封面源自网络
安全研究人员发现惠普音频驱动中存在键盘记录器
来自瑞士安全公司 Modzero 研究人员在检查 Windows Active Domain 的基础设施时发现惠普音频驱动中存在一个内置键盘记录器，允许黑客监控用户的所有按键输入。研究人员指出，惠普的音频驱动文件中隐藏缺陷代码 ( CVE-2017-8360 ) 的漏洞，它不但会抓取特殊键，而且还会记录每次按键并将其存储在人类可读取的文件中。 按键记录器会通过监控用户所按下的键来记录所有的按键。恶意软件和木马通常会使用这种功能来窃取用户账户信息、信用卡号、密码等私人信息。惠普计算机带有集成电路厂商 Conexant 开发的音频芯片，该厂商还会为音频芯片开发驱动即 Conexant 高清音频驱动，有助于软件跟硬件通信。根据计算机机型的不同，惠普还将一些代码嵌入由 Conexant 开发的音频驱动中，从而控制特殊键如键盘上的 Media 键。 这个记录文件位于公用文件夹 C:\Users\Public\MicTray.log 中，包含很多敏感信息如用户登录数据和密码，其它用户或第三方应用程序都可访问。因此安装到计算机上的恶意软件甚至是能物理接近计算机的人都能够复制日志文件并访问所有的用户按键、提取敏感数据如银行详情、密码、聊天日志和源代码。 据悉，受影响的机型包括 HP Elitebook 800 系列、EliteBook Folio G1、HP ProBook 600 和 400 系列等等。此外，研究人员还告警称 “ 其它使用了 Conexant 硬件和驱动器的硬件厂商 ” 也可能受到该漏洞影响。 稿源： cnBeta，封面源自网络
打印语言曝跨站漏洞，影响戴尔惠普等 20 款热门打印机
鲁尔大学研究人员发现了一种使用旧 PostScript 和 PJL 语言的跨站打印漏洞，允许攻击者从打印机中窃取关键信息甚至关闭设备。热门品牌如 Dell、Brother、Konica、Samsung、HP 和 Lexmark 等多款打印机型号受影响，而且多数为激光打印机。 “在打印机安全的学术研究上，网络打印机和数码复合机（MFP）的各种漏洞早已被发现”，网站“ Hacking Printers ”文章中曾指出，“只要是能连上打印机的任何人都可执行这种攻击，如通过 USB 或网络等，甚至可以组合 CORS 欺骗进行攻击”。 漏洞验证工具 研究人员已发布一款基于 Python 的概念验证代码，命名为 Printer Exploitation Toolkit（PRET），用于简化基于 PostScript 和 PJL 的打印机文件系统访问。该工具通过网络或 USB 连接到打印机，并从打印机中的 PostScript 或 PJL 语言中发现安全漏洞。 漏洞原理 研究人员公布了六份报告披露多个安全问题，包括缓冲区溢出、密码泄露以及打印作业捕获等，其中有一类能使攻击者访问打印机的文件系统，该方法利用 CORS 机制允许第三方域在打印时读取网页数据。 CORS 欺骗和跨站打印漏洞的组合可被黑客利用通过基于 web 的攻击来访问打印机，例如使用隐藏的 iframe 向受害者打印机端口 9100 / TCP 发送 HTTP POST 请求内部网络那样，通过操作打印语言输出命令便可通过打印机中将数据发回浏览器。 目前，专家们已向所有打印机厂商通报了该漏洞。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。