HP-Drucker: Hochriskante Sicherheitslücken in mehreren Laserjet Pro/MFPs

Drei Sicherheitslücken in HP Laserjet Pro- und MFP-Modellen haben jetzt Einträge in der CVE-Datenbank und passende Updates zum Schließen erhalten. Angreifer aus dem Netz können durch die Schwachstellen beliebigen Code auf die betroffenen Geräte schleusen oder ihre Rechte ausweiten. Cyberkriminellen könnte das etwa zum Einnisten im Netzwerk dienen.

HP Laserjet: Sicherheitsleck mit hohem Risiko

Bei den Schwachstellen handelt es sich um potenzielle Pufferüberläufe. Von denen können Angreifer einen missbrauchen, um ihre Rechte auszuweiten (CVE-2023-27971, CVSS 8.8, Risiko "hoch"). Ein weiterer ermöglicht die Ausführung von Schadcode aus dem Netz (CVE-2023-27972, CVSS 8.8, hoch). Die dritte Lücke ist etwas abweichend ein Heap-basierter Pufferüberlauf, der Angreifern aus dem Netz zum Einschleusen von Schadcode dienen könnte (CVE-2023-27973, CVSS 8.8, hoch).

Die Lücken betreffen HP zufolge die Drucker-Baureihen HP Color LaserJet MFP M478-M479, HP Color LaserJet Pro M453-M454, HP LaserJet Pro M304-M305 und M404-M405 sowie HP LaserJet Pro MFP M428-M429 und die zugehörige f-Baureihe davon.

Um die Sicherheitslücken zu schließen, stellt HP die Firmware-Version 002_2310A oder neuere zur Verfügung. IT-Verantwortliche sollten diese zügig von der HP-Support-Webseite herunterladen und installieren. Die Suche nach der Modellnummer des Druckers auf der Seite liefert unter anderem die aktuelle Firmware zurück.

Anfang April hatte HP eine kritische Schwachstelle in etwa 50 Druckern der Laserjet-Serie gemeldet. Die lassen sich vorerst über temporäre Gegenmaßnahmen absichern – genauer gesagt schafft die Installation einer älteren Firmware vorerst Abhilfe –, ein Patch ist erst in etwa 60 Tagen ab dem jetzigen Meldungszeitpunkt angekündigt.

(dmk)