HP belooft fix voor LaserJet-lek
Gepubliceerd: Maandag 5 december 2011
Auteur: Jasper Bakker
HP werkt aan een fix voor het beveiligingsgat in zijn LaserJet-printers. Die machines zijn via malafide firmware te kapen en af te tappen.
HP suste de ontdekte kwetsbaarheid in zijn veelgebruikte zakelijke printers eerst. Het bedrijf moest de ontdekking van de security-onderzoekers zelf nog valideren. Daarbij sprak HP wel gelijk de claim tegen dat kwaadwillenden LaserJets via dit lek ook in brand kunnen zetten. Een ingebouwde temperatuursensor, die losstaat van de printerfirmware, voorkomt oververhitting, aldus de fabrikant.
Firmware-update
HP erkent inmiddels het bestaan van het lek en zegt aan een fix te werken. Topman Vyomesh Joshi van de printerdivisie schrijft dit in een interne memo, meldt techblog AllThingsD. Hij bevestigt dat LaserJets een kwetsbaarheid hebben doordat ze vanuit willekeurige bron firmware valt te 'voeren'. Daardoor kan malafide firmware binnenkomen en automatisch geïnstalleerd worden.
Dat is volgens de printerbaas vooral een probleem voor printers die onbeschermd aan een netwerk hangen, zonder firewall. HP gaat dat fixen. Het is nog niet bekend op welke termijn die oplossing komt en wat die fix dan precies behelst. De onderzoekers van de Columbia University stellen dat printers ook zijn te kapen via pc's op het interne netwerk. Het beste zou zijn de automatische download en installatie van firmware strikt te beperken.
Stilhouden
HP-topman Joshi uit harde kritiek op de onderzoekers van de Columbia universiteit die met her lek op de proppen kwamen. Zij zouden voortijdig naar de pers zijn gestapt, waardoor er "sensationele en onjuiste berichten" zijn verschenen. Het is volgens hem normaal dat de media pas wordt ingelicht als er een fix is. Verder heeft het lek volgens de de vice-president weinig gevolgen. "Geen enkele klant heeft ongeautoriseerde toegang gemeld", schrijft hij aan zijn personeel.
Zowel de ontdekkers van het LaserJet-lek als security-experts hebben echter al gesteld dat een eenmaal gekaapte printer niet als zodanig valt te detecteren. Het overschrijven van de firmware kost zo'n 30 seconden, maar antivirus kan dat printerbesturingssysteem volgens de Columbia-onderzoekers niet scannen, laat staan fixen. De enige manier om een aanval te ontdekken zou het demonteren van de printer zijn en het uitlezen van de firmware-chips.
