Lukę w zabezpieczeniach znaleźli dwaj naukowcy z Columbia University - Salvatore Stolfo oraz Ang Cui. Ich zdaniem problem może dotyczyć milionów urządzeń HP LaserJet sprzedanych w ostatnich latach, a także wielu modeli drukarek innych producentów (aczkolwiek na razie potwierdzono go tylko w przypadku sprzętu HP).

HP zareagował oświadczeniem, w którym rewelacje naukowców nazwano "nietrafionymi i rozdmuchanymi". Firma przyznała w nim, że problem z zabezpieczeniami drukarek istnieje, ale jednocześnie podkreśliła, że jak do tej pory żaden klient nigdy nie zgłosił próby wykorzystania owej luki do zaatakowania go.

Zobacz również:

• Nowe drukarki MFP Sharp - tanie i wydajne drukowanie dla MŚP
• HP – oferta wsparcia środowiska pracy w jednym miejscu
• Luka w zabezpieczeniach WordPress

Przedstawiciele HP zdecydowanie zaprzeczyli też informacji często powtarzanej przez media - jakoby ów błąd umożliwiał wywołanie pożaru urządzenia (poprzez zmodyfikowanie parametrów drukarek i spowodowanie przegrzania). Według nich wszystkie modele z serii LaserJet mają wbudowane zabezpieczenie przed przegrzaniem, w związku z czym wywołanie pożaru nie jest możliwe.

Pośrednio potwierdził to zresztą jeden z odkrywców luki - podczas testów Salvatore Stolfo próbował doprowadzić do zapalenia się urządzenia poprzez zwiększanie temperatury tonera. W pewnym momencie umieszczona w drukarce kartka faktycznie zaczęła się robić brązowa i lekko dymić, ale natychmiast zadziałał mechanizm zabezpieczający i urządzenie zostało wyłączone (ostatecznie więc płomień się nie pojawił).

Co ważne, zdaniem specjalistów problem może dotyczyć również drukarek innych producentów - niewykluczone, że są wśród nich urządzenia, które nie są wyposażone w zabezpieczenie przed przegrzaniem.

Problem wykryty przez Stolfo oraz Cui związany jest z funkcją zdalnego aktualizowania firmware'u drukarek HP (RFU - Remote Firmware Update). Specjaliści wykazali, że zastosowano w niej zbyt słaby mechanizm autoryzacji, co potencjalnie umożliwia "napastnikowi" dostarczenie do drukarki fałszywej aktualizacji. Drukarki nie wymagają cyfrowego podpisania aktualizacji - co sprawia, że każdy, kto będzie dysponował odpowiednimi umiejętnościami i narzędziami, jest w stanie zmodyfikować lub nawet wymazać ich system operacyjny. Można to wykorzystać m.in. do zablokowania urządzenia, kradzieży z niego danych oraz modyfikacji ustawień.

Specjaliści przetestowali trzy popularne urządzenia z serii LaserJet (nie podano nazw modeli) - we wszystkich występował ten sam problem. Z analiz wynika, że nieautoryzowane oprogramowanie można dostarczyć do drukarki np. w formie odpowiednio spreparowanego polecenia drukowania. W większości przypadków wystarczy, że drukarka będzie podłączona do sieci z dostępem do Internetu.

Przedstawiciele HP poinformowali, że firma pracuje już nad aktualizacją rozwiązującą problem.