Drucker bergen viel Frustrationspotential. Wenn sie nicht so wollen wie der User, verzweifelt letzterer. Nun kommen noch Probleme anderer Art hinzu. Die Forscher Daniel Romero und Mario Rivas haben 50 Sicherheitslücken in Drucker-Firmware der beliebten Hersteller Brother, HP, Kyocera, Lexmark, Ricoh und Xerox gefunden. "Einige der Lücken ließen uns glauben, wieder zurück in den 90er Jahren zu sein", sagte Romero auf der IT-Sicherheitskonferenz DEF CON 27.

Simpler Test

Die Lücken wurden mittels Fuzzing entdeckt, also automatisierten Softwaretests. Dabei werden zufällige Daten an Eingabeschnittstellen des Testobjekts geschickt, in dem Fall an das "Protokoll Line Printing Daemon". Und die Drucker gingen alles andere als souverän damit um. Sie offenbarten binnen kurzer Zeit Schwachstellen. Die Forscher sind sich sicher, dass eine längere Testzeit noch mehr Fehler offenbart hätte. Die Sicherheitsvorkehrungen der Drucker seien "sehr unausgereift".

Große Lücken

Zurückzuführen sei das auch darauf, dass IT-Administratoren zu schleißig mit Updates umgehen würden. Zudem ist eine Vielzahl der Drucker frei über das Internet zugänglich. Dies ist besonders problematisch, weil viele Lücken in den Webanwendungen der Drucker gefunden wurden. Das nützten Anfang August bereits russische Hacker aus, um Firmen zu attackieren.

Angreifer könnten etwa die Kontrolle über den Drucker übernehmen und Druckaufträge aus der Ferne durchführen. Als Alternative können sie Drucker auch komplett lahmlegen. Die Forscher führten in einer Live-Demonstration vor, wie sie in einem Speicherprotokoll sämtliche abgewickelte Druckaufträge auslesen konnten. Die verschlüsselte Übertragung zwischen Client und Drucker wird so umgangen.

Patches in Arbeit

Aber nein, Sie müssen jetzt nicht gleich ihre Druckerfestplatte zum nächsten Schredder bringen. Die Forscher sind bereits seit Februar mit den Herstellern in Kontakt, um Lösungen zu finden. So brachten unter anderem Lexmark und HP bereits einen Patch heraus. HP empfiehlt seinen Kunden, "die Systeme stets mit den neuesten Updates zu versehen, um gegen mögliche Sicherheitslücken bestmöglich gewappnet zu sein". Brother ist mit 300 verwundbaren Modellen besonders stark betroffen, hat aber ebenfalls bereits einen Patch herausgegeben.

"Heise" bietet einen Überblick über alle betroffenen Modelle und weiterführende Sicherheitshinweise. (red, 13.8.2019)

Anmerkung: Artikel wurde geändert. Auch HP brachte bereits einen Patch heraus. Auch Xerox hat ein Sicherheitsupdate veröffentlicht.