据The Hacker News据网站报道，安全研究人员周二透露，惠普将影响150台多功能打印机(MFP)攻击者可以利用这两个安全漏洞窃取敏感信息，并渗透到企业网络进行其他攻击。
这两个漏洞统称为Print Shellz，由F-Secure 实验室研究人员 Timo Hirvonen 和 Alexander Bolshev今年4月29日首次发现：
- CVE-2021-39237(CVSS 评分：7.1)- 影响某些 HP LaserJet、HP LaserJet Managed、HP PageWide 和 HP PageWide Managed 打印机信息泄露漏洞。
- CVE-2021-39238(CVSS 评分：9.3)- 影响某些 HP Enterprise LaserJet、HP LaserJet Managed、HP Enterprise PageWide 和 HP PageWide Managed 产品缓冲区溢出漏洞。
Hirvonen 和 Bolshev 解释说：“漏洞在于设备中的通信板和分析器。攻击者可以使用它们获得代码执行权。前者需要物理访问，后者可以远程完成。当攻击成功实施时，攻击者可以实现各种目的，包括窃取信息或将感染的设备作为海滩位置攻击企业组织系统。”
CVE-2021-39238高达9.3的CVSS分数也源于这是一个“可蠕虫级”其他多功能打印机设备可用于自我传播到感染网络上的高危漏洞。
研究人员想象了可能的攻击场景：攻击者可以恶意捕鱼，包括社会工程PDF文档中使用字体分析器漏洞打印目标文件。另一种方法是引诱目标访问恶意网站。该网站将自动在受漏洞影响的多功能打印机上远程打印含有恶意字体的文档，为攻击者提供设备上的代码执行权。这种攻击被称为跨站打印攻击。
目前，惠普公司已于11月初发布修复补丁，强烈建议立即安装受影响的设备。此外，建议在日常使用中默认强制网络分段，并禁止使用USB打印驱动器。
参考来源：https://thehackernews.com/2021/11/critical-wormable-security-flaw-found.html