HP Inc. ha rilasciato le patch che risolvono le vulnerabilità di sicurezza scoperte dall’azienda di cyber security F-Secure in oltre 150 stampanti multifunzione (MFP). Secondo una ricerca pubblicata da F-Secure, gli attaccanti possono sfruttare le vulnerabilità per prendere il controllo di dispositivi vulnerabili, rubare informazioni e infiltrarsi ulteriormente nelle reti per infliggere altri tipi di danni.
I consulenti di sicurezza di F-Secure Timo Hirvonen e Alexander Bolshev hanno scoperto vulnerabilità sulle porte di accesso fisico esposte (CVE-2021-39237) e vulnerabilità di analisi dei caratteri (CVE-2021-39238) nella stampante multifunzione M725z di HP, parte della linea FutureSmart di HP. Gli avvisi di sicurezza pubblicati da HP elencano oltre 150 prodotti diversi interessati dalle vulnerabilità.
Il metodo più efficace consisterebbe nell’ingannare un utente di un’organizzazione che è stata presa di mira a visitare un sito web malevolo, esponendo la stampante multifunzione vulnerabile dell’organizzazione ad un cosiddetto attacco cross-site printing. Il sito web stamperebbe automaticamente da remoto un documento contenente un apposito carattere pericoloso sulla stampante vulnerabile, concedendo all’attaccante i diritti di esecuzione del codice sul dispositivo.
Un utente malintenzionato con questi diritti di esecuzione del codice potrebbe rubare silenziosamente qualsiasi informazione eseguita (o memorizzata nella cache) tramite la stampante multifunzione. Ciò include non solo i documenti stampati, scansionati o inviati via fax, ma anche informazioni come password e credenziali di accesso che collegano il dispositivo al resto della rete. Gli attaccanti potrebbero anche utilizzare stampanti multifunzione compromesse come testa di ponte per penetrare ulteriormente nella rete di un’organizzazione e perseguire altri obiettivi (come il furto o la modifica di altri dati, la diffusione di ransomware, ecc.)
I ricercatori hanno stabilito che sfruttare le vulnerabilità è abbastanza difficile, tanto da impedire a molti attaccanti poco qualificati di utilizzarle, ma i threat actor esperti potrebbero farne uso in operazioni più mirate.
Inoltre, i ricercatori hanno scoperto che le vulnerabilità di analisi dei caratteri sono “wormable”, ovvero gli attaccanti potrebbero creare malware auto-propagante che compromette automaticamente le stampanti interessate e quindi si diffonde ad altre unità vulnerabili sulla stessa rete.
“È facile dimenticare che le moderne stampanti multifunzione sono computer a tutti gli effetti e i threat actor possono comprometterle proprio come altre workstation ed endpoint. E proprio come altri endpoint, è possibile sfruttare un dispositivo compromesso per danneggiare l’infrastruttura e le operazioni di un’organizzazione. Gli attaccanti vedono i dispositivi non protetti come opportunità, quindi le organizzazioni che non danno priorità alla protezione delle loro stampanti multifunzione come altri endpoint si lasciano esposte ad attacchi come quelli documentati nella nostra ricerca”, spiega Hirvonen.
Consigli per proteggere le stampanti multifunzione
HP può essere considerato il fornitore leader di stampanti multifunzione, poiché detiene circa il 40% del mercato delle periferiche hardware*: è probabile, dunque, che molte aziende in tutto il mondo utilizzino dispositivi vulnerabili.
Hirvonen e Bolshev hanno contattato HP la scorsa primavera presentando le loro scoperte e hanno lavorato con la società per aiutare a correggere le vulnerabilità. HP ha ora pubblicato aggiornamenti del firmware e avvisi di sicurezza per i dispositivi interessati.
Sebbene la difficoltà dell’attacco lo renda impraticabile per alcuni attaccanti, i ricercatori affermano che è importante per le organizzazioni prese di mira da attacchi avanzati proteggere le loro stampanti multifunzione vulnerabili.
Oltre all’applicazione delle patch, tra le misure per proteggere le stampanti multifunzione evidenziamo:
• La limitazione dell’accesso fisico alle stampanti multifunzione.
• La segregazione delle stampanti multifunzione in una VLAN separata con firewall.
• L’utilizzo di adesivi anti-manomissione per segnalare la manomissione fisica dei dispositivi.
• L’utilizzo di soluzioni di blocco (come quelle Kensington) per controllare l’accesso all’hardware interno.
• L’attenersi alle best practice dei produttori per prevenire modifiche non autorizzate alle impostazioni di sicurezza.
• Il posizionamento delle stampanti multifunzione in aree monitorate da telecamere a circuito chiuso per registrare qualsiasi utilizzo fisico del dispositivo violato nel momento in cui è stato compromesso.
“Le grandi imprese, le aziende che lavorano in settori critici e altre organizzazioni che si trovano ad affrontare attaccanti altamente qualificati e dotati di risorse adeguate devono prendere sul serio la questione. Non c’è bisogno di farsi prendere dal panico, ma dovrebbero valutare la loro esposizione, in modo da farsi trovare preparati a questi attacchi. Sebbene l’attacco sia avanzato, può essere mitigato con le basi: segmentazione della rete, gestione delle patch e rafforzamento della sicurezza”, conclude Hirvonen.
