HP publie des mises à jour critiques du micrologiciel pour 2 vulnérabilités d'exécution de code à distance affectant 166 modèles d'imprimantes

Blog de vente en gros de jet d'encre

HP a offert un prix en espèces de 100000 $ aux chercheurs qui pourraient trouver des vulnérabilités dans ses produits d'imprimante il y a quelques jours à peine, et il semble que deux rapports particuliers aient attiré leur attention alors que la société a publié des mises à jour de micrologiciel pour deux bogues critiques. HP prévient que des centaines de ses imprimantes à jet d'encre sont vulnérables à deux vulnérabilités d'exécution de code à distance. Les utilisateurs doivent mettre à jour leur micrologiciel immédiatement pour atténuer les conséquences de ces vulnérabilités de niveau sévère.

Selon Support Communication Security Bulettin de HP, un fichier malveillant envoyé aux imprimantes HP concernées peut provoquer un débordement de la pile ou de la mémoire tampon statique qui pourrait ouvrir la voie à l'exécution de code à distance. Les étiquettes de sécurité attribuées à ces vulnérabilités sont CVE-2018-5924 et CVE-2018-5925 . Les deux vulnérabilités ont reçu des scores de base critiques CVSS 3.0 de 9,8 chacun.

HP est fière d'être la seule entreprise à avoir décerné des prix aussi importants pour la découverte de vulnérabilités dans sa gamme d'imprimantes. À la suite du rapport d’incident (quelle que soit la situation), l’équipe de HP a travaillé avec diligence pour publier des mises à jour afin d’atténuer les risques. Les dirigeants de HP ont publié des déclarations de fierté à l'égard des efforts de leur équipe et des performances de leur entreprise.

Il est difficile de savoir si ces vulnérabilités ont été signalées via le programme ou si HP en avait connaissance à l'avance. Le timing, cependant, ne fait que donner l'impression que c'est le résultat de la chasse aux primes. Indépendamment, HP a tenu bon en tant que fournisseur autoproclamé de «l’impression la plus sécurisée au monde» en publiant des correctifs bien avant toute exploitation des vulnérabilités connues.

Une liste de 166 types et modèles d’imprimantes à usage personnel et connectées au réseau d’entreprise concernés est publiée au bas de la page HP. publication du bulletin de sécurité . Ces modèles incluent un large éventail d'imprimantes OfficeJet, DeskJet, Envy, DesignJet et PageWide Pro. Les mises à jour de micrologiciel associées ont également été répertoriées à côté des numéros de modèle. Les propriétaires d'imprimantes HP sont priés de mettre à jour leur micrologiciel immédiatement pour éviter de risquer les conséquences des deux vulnérabilités d'exécution de code à distance.