Sicherheitslücke: Millionen HP-Drucker sind für Hacking-Angriffe empfänglich

Forscher der US-amerikanischen Columbia University haben nach eigener Aussage eine völlig neue Sicherheitslücke entdeckt, von der potenziell dutzende Millionen Drucker betroffen sind – und mit der man selbige aus der Ferne potenziell in Brand setzen kann.

Die Forscher demonstrierten die schwerwiegende Sicherheitslücke zwar nur an Laserdruckern von HP, aber dennoch kann nicht ausgeschlossen werden, dass auch Modelle anderer Hersteller betroffen sind.

Wird jedenfalls ein Druckauftrag an lokal angeschlossene HP-LaserJet-Drucker geschickt, können parallel auch Firmware-Updates an die Geräte übermittelt werden. Das ist zwar so vom Hersteller geplant, aber wenn das Software-Update durch ein mit Malware behaftetes ersetzt wird, wird es problematisch. Denn diese Geräte prüfen nicht, ob das Update von einer legitimen Stelle kommt; auf den Einsatz von Zertifikaten wird anscheinend verzichtet.

Vernetzte Drucker können zudem auch komplett aus der Ferne mit Schadsoftware beschickt werden, dann ist nicht mal mehr ein Trojaner auf einem direkt am Drucker angeschlossenen Rechner nötig. "Das ist so, als würde man ein Auto ohne die dazugehörigen Schlüssel verkaufen", so Professor Salvatore Stolfo vom Computer Science Department der Columbia University's School of Engineering and Applied Science. "Das ist total unsicher."

Einmal auf dem Gerät eingeschleuste Schadsoftware kann beispielsweise zum Auslesen von Daten oder Abfangen von Druckaufträgen genutzt werden. Perfide Angreifer können aber theoretisch auch einen Brand auslösen: Die Forscher rund um Salvatore Stolfo und Ang Cui brachten die Geräte mittels Endlos-Druckaufträgen regelrecht zum Rauchen, so dass schließlich der integrierte Überhitzungsschutz die Stromzufuhr abschaltete. Bei einem HP-Laserdrucker konnten die Forscher die Fixiereinheit sogar bis zu einem Punkt überhitzen, an dem sie das eingezogene Papier in Brand setzte.

Die Forscher teilten dies HP letzte Woche mit, worauf das Unternehmen gestern mit einer Pressemitteilung reagierte und offiziell Entwarnung gab – die von den Forschern allerdings mit gehöriger Skepsis betrachtet wurde. Laut HPs Chef-Technologe Keith Moore nehme das Unternehmen den Hinweis zwar sehr ernst, sei aber der Meinung, dass ein Ausnutzen dieser Sicherheitslücke in der Praxis eine sehr geringe Wahrscheinlichkeit habe. Außerdem würden alle seit 2009 produzierten HP-Drucker nur ein digital signiertes Firmware-Update akzeptieren.

Dumm nur, dass die Forscher einen der erfolgreich gehackten Drucker erst im September diesen Jahres ganz normal im Handel kauften...

Wer den kompletten, sehr ausführlichen und in die Tiefe gehenden Quellartikel lesen will, kann dies auf den Seiten von MSNBC tun, die exklusiv über die neue Sicherheitslücke berichteten.