HP Security Manager: Schadcode-Lücke in Druckerverwaltungstool

HPs Security Manager dient zur Verwaltung und Absicherung sowie zur Sicherstellung der Richtlinienkonformität von HP-Druckern in Netzwerken. Eine Schwachstelle in der Verwaltungssoftware ermöglicht Angreifern aus dem Netz, Schadcode einzuschleusen und auszuführen.

Davor warnt HP in einer Sicherheitsmitteilung. „HP Security Manager ist möglicherweise anfällig für eine Schwachstelle, die das Ausführen von Code aus dem Netz durch den Einsatz von Microsofts OLE-Datenbank-Bibliothek in Version 18.4 für Microsoft SQL Server Express sowie Microsofts SQLServer ermöglicht“, schreiben die Entwickler dort kärglich.

Alte Sicherheitslücken jetzt gestopft

Die Schwachstelleneinträge datieren auf den April 2024, wo Microsoft die Sicherheitslücken zum Patchday mit aktualisierter Software geschlossen hat. Die Erläuterung dort ist jedoch noch kürzer: „Microsoft OLE DB-Treiber für SQL Server Remote-Code-Ausführungsschwachstelle“, schreiben die Redmonder dazu (CVE-2024-28906 / EUVD-2024-25972; CVE-2024-29044 / EUVD-2024-26091; CVSS 8.8, Risiko „hoch„). Beide verpassen jedoch die Einordnung als „kritisches“ Risiko nur äußerst knapp.

Die Sicherheitslücken finden sich in den mitgelieferten ODBC-Treibern von HP Security Manager 3.13 oder älteren Fassungen. In der Version 3.14 aktualisiert HP die Drittherstellerkomponenten und stopft damit die Sicherheitslecks. HPs Security Manager lässt sich etwa auf der zugehörigen Webseite von HP in der aktuellen Version herunterladen.

Manuelle Gegenmaßnahmen nennt HP zudem für Admins, die diese Software von HP nicht aktualisieren möchten. Wo der HP Security Manager mit einer entfernten MS SQL Server- oder MS SQL Server Express-Datenbank installiert wurde, kann der MS OLE DB-Treiber entfernt oder auf Stand 18.7 aktualisiert werden. Haben IT-Verantwortliche die Datenbank lokal installiert, können sie TCP/IP als Protokoll im SQL Configuration Manager aktivieren und den OLE DB-Treiber entweder entfernen oder aktualisieren. Wo Admins den Treiberstand 18.7 herbekommen, erörtert HP jedoch nicht.

Anfang des Jahres hatte HP Schadcode-Lücken in der Firmware von zahlreichen HP-Netzwerkdruckern mit aktualisierter Software geschlossen. Eine davon galt sogar als kritische Bedrohung, hunderte Modelle waren betroffen.

(dmk)