HP 推出更新修復安全漏洞，影響範圍涵蓋 150 款旗下多功能事務機

雖說多功能事務機在一般家庭中的普及度不像電腦、手機來得高，但這類型產品在工作室、企業行號裡面卻是非常重要的辦公設備，多功能事務機具備有列印、掃描與傳真等功能，因此可說是文件傳遞、轉換的重要管道之一。近日安全研究人員發現知名品牌 HP 旗下至少 150 款多功能事務機受到幾個漏洞的影響，甚至可追溯到 8 年前的機種。

HP 推出更新修復安全漏洞，影響範圍涵蓋 150 款旗下多功能事務機

F-Secure 的安全研究人員 Alexander Bolshev 和 Timo Hirvonen 在 HP 多功能是刺激中發現的這些漏洞，影響範圍可追到 2013 年，也就是說這些漏洞可能使大量用戶在非常長的一段時間裡暴露在網路攻擊的風險之中。HP 已經以韌體更新的形式發表了針對兩個最嚴重漏洞的修復程式，分別為 CVE-2021-39237 和 CVE-2021-39238。HP 在其官方網站公布可能受影響的機型列表，由於型號繁多，大家可以直接前往查閱。

這兩個漏洞，其一涉及兩個公開的物理性連接埠，使得不肖人士可獲得對設備的完全授權，由於想要利用它必須與機器實際接觸，也很可能導致資訊外洩。其二是字體解析緩衝區的問題，這個漏洞較為嚴重，在 CVSS 威脅性評分得到 9.3 分，不肖人士可以利用該漏洞在遠端執行程式碼侵入，並且能夠快速地從一台印表機散布到整個組織網路上，成為整個網路的安全突破口。
▲CVE-2021-38238 的攻擊流程

除了即時進行韌體升級外，如果你是公司行號裡面的系統管理員，可以採取下面這些措施來降低安全風險：

• 禁止以 USB 連接埠直接列印
• 將印表機列入防火牆後的獨立 VLAN 中
• 僅允許從印表機到特定 IP 清單的連接
• 為公司裡電腦與印表機之間的通訊設置專用的列印伺服器

最後再強調一點，即使你不更新修復，最少應該遵循適當的網路分段，受到網路侵入損害的可能性也會大幅降低。

◎資料來源：F-Secure