BDU:2023-02268

Высокий

BDU:2023-02268: Уязвимость микропрограммного обеспечения принтеров HP Color LaserJet Enterprise и HP Color LaserJet Managed MFP, связанная с отсутствием защиты служебных данных, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v39.1

CVSS v29.4

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость микропрограммного обеспечения принтеров HP Color LaserJet Enterprise и HP Color LaserJet Managed MFP связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Что делать с BDU:2023-02268

Высокая уязвимость (CVSS 9.1) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

9.1Критический

Пересчитать →

9.4

Только просмотр

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAV:N/AC:L/Au:N/C:C/I:C/A:N

CWE — тип уязвимости

CWE-200

CVE — международный идентификатор

CVE-2023-1707

CWE-200

Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (46)

Вендор	Название	Версия	Платформа
HP Inc.	HP Color LaserJet Enterprise M455	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Enterprise MFP M480	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed E45028	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E47528	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E785dn	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E78523	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E78528	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E786	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow MFP E786	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E78625	FutureSmart 5.6	Не указана
HP Inc.	Color LaserJet Managed MFP E78630	FutureSmart 5.6	Не указана
HP Inc.	Color LaserJet Managed MFP E78635	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow MFP E78625	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow MFP E78630	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow MFP E78635	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E877	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E87740	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E87750	FutureSmart 5.6	Не указана
HP Inc.	FutureSmart 5.6 HP Color LaserJet Managed MFP E87760	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed MFP E87770	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow E87740	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow E87750	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow E87760	FutureSmart 5.6	Не указана
HP Inc.	HP Color LaserJet Managed Flow E87770	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Enterprise M406	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Enterprise M407	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Enterprise MFP M430	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Enterprise MFP M431	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed E40040	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E42540	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E730	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E73025	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E73030	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E731	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed Flow MFP M731	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E73130	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E73135	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E73140	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed Flow MFP E73130	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed Flow MFP E73135	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed Flow MFP E73140	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed MFP E826dn	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed Flow MFP E826z	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed E82650	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed E82660	FutureSmart 5.6	Не указана
HP Inc.	HP LaserJet Managed E82670	FutureSmart 5.6	Не указана

Источники (1)

https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.1

Уточните SLA под вашу среду

Базовый балл 9.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации0.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-04-03

Опубликована

2023-04-27

Обновлена

2023-04-27

Эксплойт

Данные уточняются

Исправление

Информация об устранении отсутствует

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-1707 MITRE: CWE-200 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостям Модуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0

Детали уязвимости BDU:2023-02268