Szerző: Gálffy Csaba

2011. november 30. 13:08:00

Súlyos biztonsági hiba a HP nyomtatóiban

Akadálytalanul telepíthető tetszőleges szoftver a HP nyomtatóira, így azok bármilyen feladat végrehajtására befoghatóak. A hálózati nyomtatók kritikus veszélyt jelentenek, botnetet alkothatnak, kémkedhetnek - de nem tűzveszélyesek.

Egyetlen jól formázott nyomtatási feladattal felülírható egyes HP LaserJet nyomtatók szoftvere - találták a Columbia Egyetem kutatói. Savatore Stolfo professzor és Ang Cui PhD-hallgató vizsgálata nyomán kiderült, hogy a HP nyomtatói nem igényelnek digitális aláírást a szoftverfrissítéshez, így a Remote Firmware Update segítségével gyakorlatilag bárki telepíthet "frissebb" rendszert az eszközökre.

A helyzetet súlyosbítja, hogy az eszközök nyomtatási feladat formájában fogadják a szoftvert, nem pedig speciális protokoll keretében. Így bárki, aki nyomtathat, felülírhatja az eredeti rendszerszoftvert. A kutatók szerint a nyomtatók fölött megfelelően formázott dokumentumok kinyomtatásával is átvehető az irányítás, így social engineering támadásokkal az amúgy jobban védett eszközök is célba vehetőek - csupán egy biztonságilag képzetlen alkalmazottat kell rávenni a dokumentum kinyomtatására.

A kutatók eredményei szerint a nyomtató minden bejövő feladat esetén ellenőrzi, hogy az tartalmaz-e új szoftvert - ha igen, akkor telepíti azt. A folyamat azonban semmilyen védelmi mechanizmust nem tartalmaz, így nincs szűrés arra vonatkozóan, hogy mely felhasználók küldhetnek ilyen feladatot, és digitális aláírásra nincs szüksége a szoftvernek a településhez. A kutatás keretében számos HP LaserJet terméket vizsgáltak (203x/205x, 3800 és 4005 modelleket), ezekben mind megtalálható volt a sebezhetőség.

Nem tűzveszélyes

Az eredményeket közlő első médiavisszhang arra az eshetőségre koncentrált, hogy a feltört nyomtatókkal tüzet lehet okozni, a HP azonban cáfolta ezt a híresztelést. A nyomtatók valóban tartalmaznak egy fűtőelemet, amelynek vezérlését a szoftver végzi, a túlmelegedés ellen azonban mechanikus védelmet építettek be, ez a szoftvertől függetlenül lekapcsolja a tűzveszélyessé váló elemet. A nyomtatók fizikai védelme azonban nem segít, egy jól megalkotott és célzott támadással szemben, amely egy szervezet összes hálózati nyomtatóját üzemképtelenné teszi például a szoftver teljes törlésével.

A modern nyomtatók teljes értékű beágyazott rendszerként funkcionálnak, érzékeny adatokat tartalmazó háttértárolóval és nyomtatási feladatokkal, valamint szabályozatlan hozzáféréssel a hálózathoz. Ennek megfelelően megfelelő firmware használatával a nyomtató akár spam-botnet részévé is tehető. Kifinomultabb támadások is elképzelhetőek persze, így a nyomtató utasítható a nyomtatási feladatok kiküldésére, vagy ha rendelkezik háttértárral, annak tartalmában is kutakodhatnak a behatolók. A kutatók számára nem okozott problémát a nyomtatón keresztül történő hálózati behatolás sem. az eszközt hídfőállásként használva elérhetővé válhatnak az amúgy biztonságos vállalati hálózatok erőforrásai is.

Lehetetlen védelem

A kutatás szerint a nyomtatók hagyományosan "alatta maradnak a vállalati biztonsági szabályoknak", így míg a számítógépeket és okostelefonokat egyre szigorúbb felügyelet és végpontvédelem mellett lehet használni, a nyomtatók teljesen kiszolgáltatottak. A kutatók kiemelték, hogy a jelenleg lehetetlen megállapítani egy nyomtatóról ha fertőzött vagy idegen irányítás alatt áll, a szoftver integritása ugyanis egyszerűen nem ellenőrizhető - a hagyományos antivírusok és egyéb védelmi szoftverek képtelenek a nyomtatók ellenőrzésére. A firmware felülírása mintegy 30 másodperc alatt lezajlik, kivülállók felé észlelhető jelzést csupán ez alatt küld az eszköz. Gyanús esetekben a hálózati forgalom ellenőrzése segíthet izolálni az eseteket, normális esetben azonban akár évekig is "beépített ügynök" maradhat a nyomtató.

Nem sok látszik (forrás: Columbia University)

A biztonsági rés bezárása első látásra triviálisnak tűnik, csupán ki kell adni egy frissítést, amely a későbbiekben digitális aláírást igényel a felülírási próbálkozásoktól. A már fertőzött gépek esetén azonban ez teljességgel hatástalan lesz, a kutatók várakozásai szerint ugyanis a HP-val ellentétben a behatolók már implementálhatták saját "biztonsági" megoldásukat és csupán a saját frissítéseiket engedik fel a gépekre. Ez azt jelenti, hogy az ilyen eszközök gyári szintű újraprogramozásra szorulnak, ami a legtöbb szervezetnél nem áll rendelkezésre. Kérdéses továbbá, hogy a HP által kiadott biztonsági frissítést a veszélyeztetett nyomtatók hány százalékára fogják feltelepíteni - aktív marketing nélkül ugyanis a hírek csak a felhasználó szervezetek elenyésző hányadához jutnak majd el.

Miért érdemes belevágnod a Scrum képzésünkbe? (x) Október 21-én Scrum alapozó képzést indít a HWSW, íme néhány jó érv a kurzus mellett.

A biztonsági szoftverekkel foglalkozó cégek megkérdezett szakértői szerint gyorsan megoldható, hogy termékeik felismerjék a speciálisan kialakított, a nyomtató szoftverét felülíró dokumentumokat és ne hagyják az ilyeneket nyomtatni. Ez azonban továbbra sem védi meg az internetre közvetlenül, vagy a belső hálózatra kötött nyomtatókat, amelyekre sok esetben kívülről is lehet nyomtatási feladatokat küldeni.

Szerteágazó következmények

Bár a kutatás során csak a HP nyomtatóit vizsgálták, a feltételezések szerint más gyártó eszközei is hasonlóan gondatlanul kezelhetik a frissítéseket - ami súlyos iparági nemtörődömségre utal. A HP reakciójában kiemelte, hogy még egyetlen esetet sem jegyeztek fel, amikor külső támadók átvették volna az irányítást a nyomtatók fölött - azt azonban nem tudni, hogy csupán nem fedeztek fel még ilyen eseteket, vagy valóban egy sem történt meg. A cég továbbá sietett közölni, hogy a 2010 után gyártott nyomtatók már ellenőrzik a frissítések digitális aláírását, így arra csak a HP által kiadott hivatalos szoftverek telepíthetőek. A kutatók beszámolója szerint azonban a legtöbb bolt készleteiben még korábbi modellek is nagy számban kaphatóak, így a biztonsági intézkedés csak hosszútávon nyújt védelmet.

A HP szerint a biztonsági hiba nem érinti az otthoni felhasználókat, ugyanis a legtöbben InkJet nyomtatót vásároltak, amelyek szoftvere nem frissíthető. A HP, mint a világ messze legnagyobb nyomtatógyártója 1984 óta több mint százmillió sebezhető eszközt adott el, ezek bizonyos része még hosszú ideig működni fog a világ kis- és nagyvállalatainál. A vállalat egyelőre vizsgálatot folytat, amelynek keretében megpróbálja meghatározni a sérülékeny eszközök körét, majd következhet a biztonsági stratégia kidolgozása is.

Internet of hacked things?

A kutatók továbbgondolták a nyomtatók biztonságával kapcsolatos problémákat és megvizsgáltak más, szintén az internetre kötött, nem számítógépnek számító eszközt is. Nem túl meglepő módon azt találták, hogy változatos médialejátszók, telefonos konferencia-eszközök, sőt, háztartási gépek is hasonló helyzetben vannak, biztonságukra a gyártó semmilyen erőfeszítést nem tett. Ez különösen aggasztó annak fényében, hogy az internet következő mérföldkövének a szakértők az "internet of things", vagyis a hálózatba kötött gépek paradigmáját tekintik, amelyben a különböző eszközök egymás közötti kommunikációja emberi beavatkozás nélkül zajlik. A kutatók rávilágítanak, hogy ez az éra gyakorlatilag már ránk köszöntött, a biztonsági megoldásaink azonban még nem készültek fel erre.

a címlapról