Beveiligingslek ontdekt in ruim 150 verschillende typen HP-printers

Twee beveiligingslekken in HP-printers maken ruim 150 modellen van de fabrikant kwetsbaar. Het gaat om zowel zakelijke printers als printers die worden verkocht aan consumenten. HP heeft een update uitgebracht.

De bugs zijn ontdekt door beveiligingsbedrijf F-Secure dat zijn bevindingen deelt in een blog. Door het beveiligingslek kan de printer zelf worden uitgelezen en kunnen mogelijk documenten worden onderschept die gescand zijn met een multifunctionele printer. Daarnaast kan de printer ook een ingang zijn naar andere apparaten binnen het netwerk.

HP is door F-Secure in april op de hoogte gebracht van de kwetsbaarheden en de fabrikant heeft inmiddels een update uitgebracht die het lek dicht. Het gaat om CVE-2021-39237 en CVE-2021-39238. HP heeft op de pagina's van de twee beveiligingslekken een lijst gepubliceerd met getroffen modellen. Eigenaren van deze printers wordt geadviseerd om zo snel mogelijk te updaten.

Het lek zit in modellen die zijn uitgebracht sinds 2013. Het is niet duidelijk of een van de twee beveiligingslekken actief misbruikt is. Volgens onderzoekers van F-Secure is het relatief ingewikkeld om de kwetsbaarheden te gebruiken voor aanvallen. De beveiligingslekken maken zowel aanvallen op afstand als via de fysieke poorten van het apparaat mogelijk.

Reacties (53)

[Zephyr]

gisteren een "Pagewide" model bijgewerkt, leuke bijkomstigheid lijkt te zijn dat huismerk / remanufactured cartrdiges ook gelijk geweigerd worden.

het 2019 topic:
https://tweakers.net/nieu...j-officejet-printers.html

[TheDeeGee]

Daarom heb ik auto update uit staan, en kan hem gewoon weigeren.

Als deze printer ooit de geest geeft word het geen HP meer

[P_Tingen]

Die strijd heb ik opgegeven; zoveel print ik ook weer niet dus dan maar duurdere HP cartridges. Dat gezeik dat imitatiecartridges het niet doen of geweigerd worden ben ik wel klaar mee.

Het staat wel op mijn lijstje om mee te laten wegen bij de aanschaf van een andere printer, dus dat wordt waarschijnlijk geen HP meer.

[Mopperman]

Je kan ook voor een Epson gaan, de inktank modellen kan je zelf bijvullen, dus heb je sowieso nooit last van "cardridges" die geweigerd worden.

[pharmacist]

Alleen ecotank is nog niet genoeg: de oudere generatie ecotanks had namelijk geen user replaceable waste ink tank erin en als je intensief print kan het zijn dat na een paar jaar gebruik de computer zegt: bepaalde onderdelen zijn aan het einde van hun serviceperiode (lees: de inktkussen onderaan de printer is verzadigd en moet naar een servicepunt gebracht worden om volledig uit elkaar te halen en opnieuw in elkaar worden gestoken aka flink ping ping betalen dat het misschien goedkoper is om een nieuwe ecotank te kopen). Daarom moet de printer ABSOLUUT een user replaceable waste ink tank aka onderhoudstank hebben die de inkt erin opvangt en die kost ook nog eens vaak een paar tientjes per stuk (een mooie vuilnisbak kost maar een flink stuk minder, maar ja: zelfs op afvalafhandeling wordt flink wat verdiend, gezien die onderhoudstanks vaak ook nog beveiligd zijn met een chip zoals een echte inktpatroon).

[amsterdamned]

Klopt, ik zat ook te overwegen voor ecotank te gaan, tot ik dat had gelezen. Weet je toevallig welke modellen dan wel een user replaceable waste ink tank hebben?

[pharmacist]

Google is je vriend: er zijn veel ecotank modellen met een onderhoudstank/maintenance tank. Zoek gewoon "maintenance tank voor model huppelup Ecotank Epson" voor het model dat je op je oog hebt en kijk of dat bestaat. Wil je foto's afdrukken: kies dan een ecotank die minstens 5 inktreservoirs heeft, namelijk naast de tekstzwart (pigment), cyaan, magenta en geel ook het noodzakelijke fotozwart (in dit geval zijn de inkten gebaseerd op kleurstof/dye, waardoor je sprankelende en glanzende foto's kunt afdrukken). Wil je nog verder gaan met foto's: er zijn ecotanks met een grijze inktreservoir, zodat je ook neutrale zwart/wit-foto's kunt afdrukken. Kies je een ecotank met 4 inktreservoirs: dan wordt bij foto's het zwart samengesteld uit cyaan, magenta en geel, waardoor je nooit contrastrijke (diepzwart is dan onmogelijk) foto's krijgt, aangezien het enige zwart (pigment tekstzwart) ongeschikt is voor foto's om als zwartcomponent gebruikt te worden.

[SCS2]

Bij mijn nieuwe Epson ET-5800 heeft een vervangbare afvalbak.
Dit wordt zelfs keurig in het inkt overzicht genoemd, met een verwachte levensduur.
Maintenance Box: C9345 e26,49

Je moet willen (en kunnen) investeren in een dure/duurdere printer.
inkt of toner voor grote hoeveelheden is veel goedkoper.

Wij printen nog best veel.
De HP Officejet Pro X476dw MFP ging na 2 jaar ontzettend vlekken. De afvalbak was vol en gecombineerd met een dure duplex unit...
Een YouTuber liet zien hoe je die eenvoudig zelf kon schoonmaken en afspoelen.

[pharmacist]

In mijn oudere Epson printers, die ik had, heb ik met met tweaking de buisjes die afvoerden naar de voor leken vrijzel onvervangbare inktkussen onderaan de printerbodem, afgeleid naar een extern afvalinktflesje. Zo kan je met de Epson 1400, 800W, 2400, 3000 en andere A3+ fotoprinters met een eenvoudige tweaking de inkt afleiden naar een extern flesje. Ideaal was dit niet, aangezien de printer niet alleen inkt dumpte boven de parkeercap (waar de printkop op rust), waarbij je de afvalinkt dus kunt afleiden naar buiten, maar ook helemaal links boven de overloopgat voor randloos printen, die ook verbonden is met de voor leken vrijwel onbereikbare inktkussen. Dus je hebt een situatie waar je rechts de inkt afleidt naar buiten, maar tijdens reinigingen spuit de printkop ook helemaal links van de printer rechtstreeks in de inktkussen onderaan de printer. Gelukkig hebben printerfabrikanten het licht gezien dat deze situatie niet ideaal is, maar in hun poging om ecologischer te zijn, willen ze wel ondertussen wel eventjes ping ping ontvangen van zelfs een eenvoudige afvalbak voor 2-3 tientjes. Bij wat oudere printers zoals de Epson WF-7515 en WF-7525 kan je eenvoudig met een schroef een geheim compartiment open schroeven en kan je gemakkelijk bij de afvalinktbakje met een sponsje en met een (betalend) hack utility de printer resetten als hij zegt dat je niet verder kunt printen (je verwijdert de verzadigde inktsponsen en stopt er proppen keukenrolpapier erin of watten en klaar is kees). Er zijn mogelijkheden uiteraard als je de weg kent.

[VervelendeMan]

Ik lees inkt zelf bijvullen en ik stel mij een rampen scenario voor

[multipasser]

Ik heb een brother DCP laser gekocht 8j geleden omdat ik op youtube een filmpje tegen kwam hoe je de toner kon resetten! Ik zit al 8j op dezelfde toners te printen!! Ik heb al 5x een volledige toner switch overgeslagen! dat is 1500€+ aan toners!

Ongelooflijke maffia is het! Die toner zit knalvol met poeder maar de software zegt dat hij leeg is! Schandalig.

[aZuL2001]

Toevallig afgelopen maandag een gesprek gehad met Ricoh over drum levensduur.
Vaak gaat de levensduur melding op basis van berekening. Zoveel pagina's met gemiddeld zoveel procent dekking en kleurgebruik.
Ik liep tegen een set color drums aan die vervangen wilden worden, normaal 12000 pagina's zouden moeten kunnen doen. Kreeg de melding na 6000 pagina's.
Bleek dat in hun berekening ze werken met een opdracht van drie pagina's. Wij printen pakbonnen van 1 pagina, vooral zwarte tekst, klein kleuren plaatje van het artikel. Dat week nogal af van hun berekening.

[NoBrakes]

Buiten het geld dat je bespaart, denk aan al het afval dat je hebt bespaart.

[multipasser]

dat ook al! Maar aan die grote scam doet de EU regering niets!

[colleoni]

We hebben de afgelopen decennia in Europa massaal rechtsere, pro Neo-kapitalistische nationale regeringen in het zadel geholpen. Die doen het liefst zo min mogelijk aan regulatie en laten alles zo veel mogelijk over aan de markt.....en de mens zijn eigen verantwoordelijkheid. Dan heeft huilen bij de EU weinig zin....er zijn namelijk maar heel weinig regulatie mechanismen over die er in de vorige eeuw waren. En in Europa kun je veel minder makkelijk dan in de VS een bedrijf aanklagen omwille van dit soort twijfels over de bedrijfsvoering......

[Timo002]

Ik heb een Samsung printer, maar dat is volgens mij ook gewoon HP. Moest eens de netwerk instellingen resetten in de printer, en dat ging via HP software.

[GeroldM]

HP heeft de Samsung Printer divisie opgekocht.

[RRRobert]

Die strijd heb ik opgegeven; zoveel print ik ook weer niet dus dan maar duurdere HP cartridges. Dat gezeik dat imitatiecartridges het niet doen of geweigerd worden ben ik wel klaar mee.

Hier op het werk staat een slechts anderhalf jaar oude HP plotter (DesignJet T520), waarbij de werkgever naderhand heeft bezuinigd door niet de originele cartridges maar het huismerk te kopen. Die imitatie cartridges hebben voor 123* problemen gezorgd: kleuren die haperen, zwart wat 'doorslaat' en voor leksporen aan de randen van het papier zorgt, rampzalig. En dat voor een bezuiniging van hooguit vijftig euro op jaarbasis...

_{* = dichterlijke vrijheid, naar de leverancier toe.}

[Xfade]

HP bedankt je, ze hebben de strijd van jou gewonnen.

[P_Tingen]

Ja ik weet het, ze hebben een bloemetje gestuurd. Toch sportief van ze.

[RoyD]

Het zelf vullen met inkt van de HP cartridges werkt dan weer goed. Je moet dan wel nog een setje hebben die je dan omwisselt, anders heeft de printer het in de gaten.

[The Zep Man]

"Never let a good crisis go to waste."

[DeanXeL]

Waaat, wie had ooit gedacht dat alles connecteren aan een netwerk voor problemen zou kunnen zorgen! Een mogelijk lek sinds 2013 al, amaai.

[Prince]

2 issues. Eentje is een buffer overflow issue, de ander is als je fysieke toegang hebt tot de printer, dat je eerder gemaakte scans kan recoveren. Ze raden een kensington lock aan; dus klinkt als je kan de oude data van de HD halen.

De buffer overflow zou je toegang kunnen geven tot het lokale "OS" van de printer. Deze kan dan weer op zich connectie leggen met andere toestellen.
Dit is op zich eenvoudig af te handelen door firewalls/vlan's en netwerkkennis.
Printers in een afzonderlijke vlan of subnet zetten met een firewall tussen zou de impact al enorm kunnen reduceren.
Denk bvb aan:
- printers mogen geen connectie starten, tenzij mail richting mailserver.
- printers mogen enkel benaderd worden op de printpoorten (9100 bvb), 443/80, SNMP 161/162.

Wel spijtig inderdaad dat je alles standaard moet dicht zetten omdat er mensen zijn van kwade wil. Waar is de tijd dat je je auto zelfs niet op slot moest doen en met een gerust hart kon gaan slapen...
Tegenwoordig is het meer van "kijk eens hoeveel schade ik kan verwezelijken.. wat ben ik toch machtig..."

[FreshMaker]

Tijdje geleden moesten op stel en sprong printers en multifunctionals omgeruild worden op een vestiging.
Ze waren 'te oud' dus er kwamen (dezelfde) nieuwe modellen.

3 weken later kreeg ik een telefoontje van de vestigingsmanager, de oude apparaten geven een foutmelding.
ik had de hdd's er uitgehaald, omdat er 5 tot 8 jaar aan gescande data op KON staan.

Zonder die HDD werken ze dus kennelijk niet, en vanwege De letterbrij in de AVG en zekere voor onzekere gaan er geen HDD's het pand uit, zonder dat er een (spreekwoordelijke) grote hamer langs is gegaan.
Dus al helemaal niet één waarvan onbekend is wat er nog op zou kunnen staan

[Prince]

Terecht dat je ze eruit haalt. Wel vreemd dat hij later de oude printers toch nog wou gebruiken... te oud voor de vestiging, maar niet te oud om als extra printer te gebruiken? :-)

De data op de HD's is meestal encrypted; ik vermoed dat er dus een methode is waarmee de encryptiesleutel te achterhalen is. (wat ergens logisch is gezien de printer de data ook moet kunnen decrypteren).

Offtopic: toch grappig om te zien dat "gebruikers" in elke firma hetzelfde reageren. Misschien zijn die gebruikers hun "manier van doen" wel de enige constante binnen de IT Sector :-D

[Dannyx]

Dat is voor bedrijven met vestigingen door het hele land. In het westen is de apparatuur of meubilair dan afgeschreven of verouderd dan kan het altijd nog naar een vestiging in het noorden of oosten van het land!

[spank_mojoo]

Dit geld voornamelijk voor bedrijven waarvan de hoofdvestiging in het westen is gevestigd.

[Xfade]

Dat waren vast geen HP's ?

[RoyD]

Ook een beetje verspilling om HDD's kapot te slaan: Even een keer met random data volschrijven en niemand kan er nog data afhalen.

[Tieske]

Wel fijn dat er bij het advies z.s.m. te updaten er ook voor alle getroffen printers een firmware update beschikbaar is.
Laatste firmware update 29-07-2021 en deze is ook reeds op de printer aanwezig. Dan maar even afwachten tot men nieuwe firmware heeft.

[aikebah]

Dan zul je dus de patch al hebben. Zie de CVE bulletins van HP voor de patched versies van FutureSmart. Die zijn al eind juli door HP geproduceerd.

[Tieske]

Inderdaad. nu zie ik hoe de lijst te lezen
Even goed kijken is soms moeilijk.

[madcon]

150 verschillende typen printers in 10 jaar. Het lijkt mij erg veel, maar als ik in de pricewatch kijk dan zijn er inderdaad bizar veel typen: pricewatch

[Mopperman]

Ik weet niet hoe het met HP zit, maar er waren zelfs fabrikanten (en nog steeds) die specifieke modellen uitbrengen voor de BCC/Mediamarkt/Expert/EP enz.

Die modellen zijn qua specs allemaal hetzelfde, maar het typenummer is vaak maar 1 cijfer of letter anders. De reden: Nooit elkaar kunnen beconcurreren op laagste prijs.

[Puffino]

Dat geldt niet alleen voor printers, maar ook voor allerhande andere apparatuur. Laptops, bijvoorbeeld.

Wat lijkt een aanbieding bij een grote retailer dan opeens ontzettend leuk, tot je ziet dat heel sneaky het typenummer net anders is dan bij de concurrent, en je een afgeslankte versie voor je snufferd hebt. De aanbieding is dan opeens "iets minder interessant".

Let dus niet alleen maar op het typenummer (dat vaak lastig vergelijken of terug te vinden is) maar zeker ook op de lijst met specs (op de doos, als je die te zien kunt krijgen, of op het apparaat zelf, en zeker niet op het verkoop-etiketje ;-) )

[Cobalt]

HP heeft Samsung printers overgenomen en onder een nieuwe naam opnieuw uitgebracht.

[Xfade]

Elk jaar nieuwe printers die nieuwe modellen patronen nodig hebben. Geld moet rollen. Puur voor de inkt.

[Reactie gewijzigd door Xfade op 22 juli 2024 16:50]

[amigob2]

Dus 80% van de printers krijgen deze update niet als het met de hand gedaan moet worden.

[Jim80]

Maak daar gerust maar 99% van

[Xfade]

Slechts 20% zit aan het internet ?

[amigob2]

Cross-site printing (XSP): sending the exploit to the printer directly from the browser (by tricking a user into visiting a malicious website, for example) using an HTTP POST to JetDirect port 9100/TCP. This is probably the most attractive attack vector.

[softinc]

En hoe krijgen deze gebruikers te horen over de update. btw april- november is 7 maanden, en nu moet het ineens met spoed, beetje vreemd dit

[digital8]

Ik heb een half jaar geleden een update gedaan omdat toen ook al iets bekend gemaakt werd over een exploit die mogelijk waren op de verschillende HP printers die wij in het pand hebben staan, maar deze exploit is dus op diezelfde firmware update niet mogelijk, de fix was dus al sinds juli te krijgen voor de HP M551 serie, wellicht voor andere series ook, maar ja wie update nou zijn printer firmware of krijgt überhaupt berichten dat er iets mee mis is, zelfs op manageble printers die kunnen e-mailen kun je niet automatisch een melding over dit soort zaken krijgen, erg jammer.

Het in de gaten houden van de diverse websites waarop security items besproken worden is toch echt wel een must tegenwoordig.

[Qwerty-273]

Dit probleem geldt natuurlijk voor alle apparaten die aangesloten worden in een eindgebruikers-netwerk. Een ander belangrijk punt is de encryptie van het daadwerkelijke printverkeer. In een grotere organisatie zal de "follow-me" oplossing vast wel intelligent zijn met encryptie (IPP over HTTPS of IPsec tunnels, etc) maar in een kleiner bedrijf zal je voornamelijk zien dat je printverkeer tussen printserver en printer er gewoon plain text via de kabel wordt verzonden. Dan is een eenvoudige packet sniffer al voldoende om al de documenten die geprint worden te onderscheppen (en wie let er nou op een extra kastje achter/naast de printer).

[Dark Angel 58]

Software van de printers voor Windows enz. zijn in orde?

[Verwijderd]

Het gaat echt alleen om de printers zelf. Niet de drivers. Lees anders even goed het artikel wat bovenaan genoemd wordt.

[Dannyx]

Jaren geleden wel eens aan het prutsen geweest met een scriptje die op zakelijke HP printers teksten op het scherm kon weergeven. via google een printer zoeken die aan het net hing en dan de die lui aan de andere kant van de wereld een fijne dag wensen via het lcd scherm. vraag me af of dat nog open staat.
kon je volgensmij ook heel veel andere gegevens inzien van die printers

[Reactie gewijzigd door Dannyx op 22 juli 2024 16:50]

[keigezellig123]

Zo heb ik een keer toegang gehad tot een control panel van een printer (ergens in de US ofzo) dat open en bloot, zonder wachtwoord etc aan internet hing. Ik heb toen voor de grap de manual van de printer laten uitprinten (200 pagina's ofzo) wat gewoon de resterende papiervoorraad opmaakte

*Foei, keigezellig, dat mag je nooit meer doen*