Cập nhật phần dẻo làm giảm nhẹ các vấn đề an ninh máy in LaserJet của HP

Firmwareup-date mitigates HP's LaserJet printer security problems

24 December 2011, 15:12

Theo:http://www.h-online.com/security/news/item/Firmware-up-date-mitigates-HP-s-LaserJet-printer-security-problems-1401292.html

Bài được đưa lênInternet ngày: 24/12/2011

Lờingười dịch: Trong khi có hàng loạt các website của ViệtNam đăng tin (từ khóa để tìm: “bảo mật máy in HP”)về việc các tin tặc có thể tấn công vào mạng, thậmchí đốt cháy máy in LaserJet của HP,thì trên site ictnews có đăng bài “Khôngcó chuyện máy in HP cháy do thay đổi firmware”với lời giải thích của đại diện HP Việt Nam. Còn bâygiờ, site The H, một site thông tin chuyên về an ninh củanước Đức lại có tiếp bài viết này. Bài viết chohay: “HP đang khuyến cáo nhữngngười sử dụng đặt các máy in của họ ra sau mộttường lửa, và, ở những nơi có khả năng, hãy vô hiệuhóa chức năng cập nhật từ xa.HP đã cùng đặt lên mộttrang web có chứa các mẹo tiếp theovề an ninh. Một số khuyến cáo chung là áp dụng đượccho cả các máy in không phải là HP. Các rủi ro do các tintặc đặt ra lên các máy in được kết nối mạng khôngphải là một vấn đề mới - các nhà sản xuất kháccũngcó kinh nghiệm về các vấn đề tương tựtrong lĩnh vực này”.

HP đã tung ra một cậpnhật phần dẻo cho một số máy in LaserJet của hãng, nhằmvào việc làm giảm nhẹ rủi ro đặt ra vì một chỗ bịtổn thương được phát hiện vào cuối tháng 11. Hãng nàyđã nhấn mạnh rằng hãng sẽ “truyền đạt điều nàymột cách chủ động tích cực tới các khách hàng và cácđối tác” - dù dường như còn chưa, với thông cáo báochí về cập nhật không đưa ra các chi tiết về nhữngthay đổi của HP và không tiết lộ phần dẻo mới nàylà sẵn sàng cho những thiết bị nào.

Trong các mẫu máy bịảnh hưởng, các cập nhật đã luôn được cung cấp màkhông có một chữ ký số. Các thiếtbị sẽ chỉ chấp nhận và cài đặt bất kỳ phần dẻonào mà chung có chữ ký số. Một công việc in ấn bịgiả mạo từ một hệ thống Linux và Mac là cũng có thểxảy ra, trong một số trường hợp thậm chí là từ xa,có khả năng kích hoạt một cập nhật phần dẻo, chophép một kẻ tấn công tiêm mã nguồn và chiếm quyềnkiểm soát máy in đó.

Theo một báo cáo củaMSNBC, trong một cuộc kiểm thử, các nhà nghiên cứu củaĐại học Columbia đã phát hiện ra chỗ bị tổn thươngđã có khả năng gây ra cho đơn vị fuser nóng lên. Tuynhiên, HP từ chối rằng chỗ bị tổn thương có thểđược sử dụng để gây ra sự cháy, nói rằng sự hiệndiện của một dòng phá bằng nhiệt ngược lên dòng trêncủa fuser sẽ ngăn trở việc đốt nóng.

Nhữngngười sử dụng các máy in LaserJet của HP vẫn theo dõisát đối với cập nhật an ninh này, nếu không thì họsẽ bị phơi ra rủi ro rằng máy in của họ có thể bịsử dụng để gián điệp mạng mà máy in được gắnvào.

Ítnhà quản trị nào nghĩ tới việc thiết lập tường lửacho một máy chủ hoặc hạ tầng khác từ các máy in củariêng họ.

HPhas released afirmware up-date for some of its LaserJet printers, aimed atmitigating the risk posed by a vulnerabilitydisclosed in late November. The company stressed that it will be"communicating this proactively to customers and partners"– though not, it seems, just yet, with the pressrelease on the up-date giving no details of the changes made by HPand failing to reveal which devices the new firmware is availablefor.

Onthe affected models, up-dates have always been supplied without adigital signature. The devices will just accept and install anyfirmware they are given. A crafted print job sent f-rom a Linux or Macsystem can also, in some cases even remotely, be able to trigger afirmware up-date, allowing an attacker to inject code and take controlof the printer.

Accordingto a report by MSNBC, in one test, the University of Columbiaresearchers who discovered the vulnerability wereable to cause the fuser unit to overheat. HP, however, deniesthat the vulnerability could be used to cause a fire, stating thatthe presence of a thermal breaker upstream of the fuser preventsoverheating.

HPLaserJet users should still keep an eye out for the security up-date,as they will otherwise be exposed to the risk that their printercould be used to spy on the network to which it is attached. Fewadministrators would think to firewall a server or otherinfrastructure off f-rom their own printers.

Như thông báo ban đầucủa mình về vấn đề này, trong thông báo mới nhất củamình, HP đang khuyến cáo những ngườisử dụng đặt các máy in của họ ra sau một tường lửa,và, ở những nơi có khả năng, hãy vô hiệu hóa chứcnăng cập nhật từ xa. HP đã cùngđặt lên mộttrang web có chứa các mẹo tiếp theovề an ninh. Một số khuyến cáo chung là áp dụng đượccho cả các máy in không phải là HP. Các rủi ro do các tintặc đặt ra lên các máy in được kết nối mạng khôngphải là một vấn đề mới - các nhà sản xuất kháccũngcó kinh nghiệm về các vấn đề tương tựtrong lĩnh vực này.

Asin its initial announcement of the problem, in its latestnotification, HP is advising users to place their printers behind afirewall, and, whe-re possible, to disable the remote up-date function.The company has put together a webpage containing further security tips. Some of these generalrecommendations are equally applicable to non-HP printers. The risksposed by attacks on networked printers are not a new issue – othermanufacturers havealso experienced problems in this area.

(djwm)

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com