Un grupo de investigadores de la Universidad de Columbia afirman haber descubierto una vulnerabilidad que afecta a las impresoras HP LaserJet y que podría permitir a un atacante remoto emplear la impresora como punto de entrada de otro tipo de ataques o provocar que se caliente en exceso.
En una demostración de las posibilidades del problema, los investigadores Salvatore Stolfo y Ang Cui de la Universidad de Columbia, demostraron como desde otro equipo podían enviar una actualización del firmware de la impresora. Llegó a calentarse de tal modo que empezó a echar humo hasta dejar de funcionar y quemó el papel hasta volverlo marrón.
Las impresoras una vez atacadas pueden ser controladas de forma remota a través de Internet, con la potencial posibilidad de robo de información personal o lanzar otros ataques a diferentes redes o sistemas desde el dispositivo.
 |
| El investigador Ang Cui en una imagen de la Universidad de Columbia |
Según los investigadores, realizaron ingeniería inversa sobre el software que controla las impresoras HP LaserJet. Estas impresoras permiten actualizaciones del firmware a través de un proceso llamado «Remote Firmware Update«. Cada vez que la impresora acepta un trabajo, comprueba si existe una actualización de su software incluida en ese trabajo. Pero según afirman, las impresoras no comprueban la fuente de la actualización, y que ni siquiera se usa una firma digital para verificar su autenticidad. De esta forma cualquiera puede construir una actualización de firmware maliciosa diseñada para realizar acciones maliciosas.
HP ha respondido a estas afirmaciones asegurando que:
«Ha habido informaciones sensacionalistas e inexactas sobre una potencial vulnerabilidad de seguridad en algunas impresoras HP LaserJet. Ningún cliente ha comunicado accesos no autorizados. Especulaciones respecto a que dispositivos puedan potencialmente arder debido a un cambio de firmware es falso«.«Las impresoras HP LaserJet tienen un elemento de hardware llamado «interruptor térmico» diseñado para prevenir el sobrecalentamiento o causar un incendio. Esto no puede ser modificado por un cambio de firmware o esta vulnerabilidad propuesta«.
Sin embargo tampoco niega totalmente la existencia de algún tipo de problema:
«Mientras HP ha identificado una potencial vulnerabilidad de seguridad en algunas impresoras HP Laserjet, ningún cliente ha anunciado accesos no autorizados. La vulnerabilidad específica existe en algunos dispositivos HP Laserjet si se sitúan públicamente en Internet si firewall. En una red privada algunas impresoras pueden ser vulnerables si se modifica el firmware de un dispositivo desde una parte confiable de la red«.«HP está desarrollando una actualización del firmware para mitigar este problema y ésta se va a comunicar de forma proactiva a los clientes y socios que puedan verse afectados«.
Básicamente, HP admite que existe un problema que afecta a sus impresoras (sin determinar totalmente su alcance), pero no cree que haya ocurrido ningún ataque, y tampoco ve posible que las impresoras puedan llegar a arder ante esta posibilidad.
Keith Moore, jefe de tecnología para la división de impresoras de HP, afirmó que desde 2009 las nuevas impresoras de HP requieren actualizaciones de firmware firmadas digitalmente. Sin embargo, los investigadores de la Universidad de Columbia afirmaron haber comprado una de las impresoras empleadas en la prueba el pasado septiembre en una tienda de Nueva York.
Actualmente las informaciones por ambas partes son un tanto contradictorias, hasta que los investigadores no publiquen un aviso o «paper» específico en el que describan los problemas; o analizar un aviso de seguridad detallado de HP y el parche que publiquen, no se puede afirmar el alcance real de los ataques
Más información:
Exclusive: Millions of printers open to devastating hack attack, researchers say
Security researchers say HP printers vulnerable to hackers
HP LaserJet printers at risk of fiery hacker attack
HP Refutes Inaccurate Claims; Clarifies on Printer Security
HP: Printers Will Stop Themselves Before Hackers Set Them On Fire
Antonio Ropero
Twitter:@aropero
Deja una respuesta