HP łata kolejną krytyczną lukę

Koncern HP udostępnił uaktualnienie, usuwające kolejny poważny błąd z aplikacji wchodzącej w skład pakietu, który standardowo instalowany jest w komputerach marki HP oraz Compaq. Tym razem problem dotyczy programu Software Update - to już drugi podobny błąd w aplikacji HP wykryty w ostatnich dniach przez polskiego specjalistę ds. bezpieczeństwa znanego pod pseudonimem "porkythepig".

Zadaniem Software Update jest instalowanie uaktualnień dla zainstalowanego w systemie oprogramowania HP - dlatego też program ten dostarczany jest zwykle ze wszystkimi aplikacjami koncernu, czyli np. z oprogramowaniem preinstalowanym na komputerach przenośnych i stacjonarnych oraz dołączanym do drukarek, skanerów, cyfrowych aparatów fotograficznych i innych urządzeń HP.

Polski specjalista ds. bezpieczeństwa o pseudonimie "porkythepig" wykrył w Software Update lukę, która pozwala na zdalne uszkodzenie systemu Windows (np. poprzez skasowanie lub nadpisanie plików systemowych). Błąd ten może więc posłużyć do łatwego unieruchomienia dowolnego komputera z zainstalowanym oprogramowaniem HP ("porkythepig" opublikował również przykładowy exploit, demonstrujący skuteczność takiego ataku).

Co więcej, po przeprowadzeniu wewnętrznych analiz problemu koncern HP przyznał, że zakres ataku nie ogranicza się do uszkodzenia Windows - błąd w Software Update może także posłużyć do uruchomienia w systemie złośliwego kodu (np. konia trojańskiego lub botworma). Sprawa jest więc równie poważna, jak w przypadku aplikacji HP Info Center, w której polski specjalista wykrył kilka dni temu podobny błąd (w obu przypadkach przyczyną problemu jest wadliwa kontrolka ActiveX). Pisaliśmy o tym w tekście "Notebooki HP i Compaq - z luką w standardzie?".

Koncern HP przygotował już uaktualnienia usuwające problem - firma zaleca użytkownikom produktów marki HP uruchomienie aplikacji Software Update w celu pobrania niezbędnych poprawek (z informacji udostępnionych przez koncern wynika, że patch ten wyłącza niebezpieczne kontrolki - warto wspomnieć, że takie właśnie rozwiązanie zalecał użytkownikom kilka dni temu koncern Symantec). Standardowo Software Update można uruchomić klikając w Windows: Start -> Wszystkie Programy -> HP -> HP Software Update.

Nowa luka została uznana przez duńską firmę Secunia za "wysoce krytyczną" (to drugi od góry poziom zagrożenia); przedstawiciele HP nie użyli w opisie błędu i uaktualnienia słowa "krytyczny" - firma zaleca jednak użytkownikom, by zainstalowali poprawki tak szybko, jak to możliwe.

Koncern przyznał też, że tym razem problem ma większy zasięg niż w przypadku luki w Info Center - wtedy dotyczył on 83 modeli komputerów przenośnych marki HP i Compaq. Tym razem atakiem zagrożone są praktycznie wszystkie komputery przenośne i osobiste w ofercie firmy, a także "pecety" innych producentów, w których zainstalowano oprogramowanie dołączone do drukarek, skanerów oraz cyfrowych aparatów fotograficznych HP.


Zobacz również