Nachdem ich nun stolzer Besitzer eines Farblaser CM-1415FNW MFP von HP bin, musste ich leider Festellen das dieser über eine Sicherheitslücke im Webinterface verfügt. Zuvor muß ich anmerken das ich HP berreits vor einigen Monaten auf diese Sicherheitslücke aufmerksam gemacht habe per Mail. Im Dezember kam dann ein Firmware Update von HP raus, aber leider wie auch nicht anders zu Erwarten wurde eben diese Lücke nicht behoben. Sie besteht weiterhin und so wie ich das bisher sehen konnte bei allen HP Druckern die über ein Webinterface verfügen. Ich erkläre nun etwas genauer um was es geht.

Der CM-1415FNW bzw. auch andere HP Drucker mit Webinterface bieten die Möglichkeit den Drucker per Browser zu konfigurieren, das umfasst Papier Einstellungen, Farbeinstellungen, Druckdichte, Kalibrierungseinstellungen, Netzwerk Einstellungen, FAX Einstellungen, Status Anzeige etc. Das Webinterface bietet daher die Möglichkeit den Zugang zu eben die Einstellungen per Passwort zu Schützen. Leider ist davon der Abschnitt STATUS nicht betroffen, zu diesen man auch Zugang hat sobald man das Webinterface aufruft ohne Passworteingabe. Das Problem ist das sich in diesem Abschnitt Status der Unterbereich Berichte befindet, in eben diesen Unterbereich kann nun jeder der Zugang zum Webinterface hat Status Berichte drucken ohne sich vorher mit Passwort legitimiert zu haben. Mann muß sich also nicht wundern wen man eines Tages von Arbeit nach hause kommt, das Papier und die Toner Komplett leer sind, weil irgendjemand aus dem Internet auf mein Webinterface meines HP Druckers gestoßen ist und da 1000x Berichte gedruckt hat ohne das er ein Passwort eingeben musste. Siehe Bild.

Auf diesen Bild ist Deutlich zu sehen wie man ohne Anmeldung (Oben rechts) Berichte Drucken kann, oder sich andere Informationen der Gerätekonfiguration anschauen kann ohne sich vorher durch Passwort angemeldet zu haben, obwohl dieser Passwort Schutz eingerichtet ist, aber nur bei den anderen Punkten außer Status auch greift.

HP könnte jetzt natürlich Argumentieren das dieses Webinterface nur für das Lokale LAN da ist, dem muß ich aber leider widersprechen da es sich ja gerade bei einem MFP anbietet diesen auch von außen also über das Internet zu Konfigurieren. Hier sei nur alleine die Möglichkeit der FAX Umleitung genannt zu einer anderen Rufnummer oder die Möglichkeit den HP Web-Service zu konfigurieren. Im Moment bleibt einem nur übrig die Umleitung im Router wieder zu deaktivieren wen man keine Bösen Überraschungen erwarten möchte und zu hoffen das es HP in Zukunft mal schafft diese kleine Sicherheitslücke im Webinterface ihrer Drucker zu schließen. Wen man als Firma natürlich Mails die auf solche Hinweise eingehen nicht weiter beachtet wartet man allerdings vergebens auf ein Firmware Update. Über Google lassen sich zudem diese Drucker leicht auffinden anhand dieser URL kann man unter STATUS auf diese Drucker zugreifen, zudem sind die meisten noch nicht einmal mit Passwort geschützt. Ich wette die Anwender freuen sich wen jemand von außen 100x auf Infoseite drucken drückt. Da kann man wirklich nur mit den Kopfschütteln und sich fragen wann HP aufwacht und den Passwortschutz bis auf das Status Menü ausdehnt und vor allem wann so manche HP Drucker Anwender aufwachen und wenigstens ihre Systemeinstellungen mit Passwort schützen.

Nachtrag 20.03.2012 : Auch mit den aktuellen Firmware Update von HP vom 16.2.2012 ist diese Lücke immer noch vorhanden.

Michael Jäkel (DD6VD)

normale Treiber für Windows 7 64Bit hier installiert sind. Die ION arbeitet mit Shared Memory und greift sich im Automatik Modus 256MB von den installierten 4GB ab. Die ION Grafikkarte ist für Full HD 1080p vorgesehen, aber auch spielen ist möglich, so läuft World of Warcraft mit 1280×1024 locker mit 35Fps neben den noch laufenden Server Anwendungen.
Das einzige was am ASRock ION 330 Pro mir bisher Negativ aufgefallen ist, das ist der eingebaute Lüfter. Dieser ist zwar im Automatik Modus sehr Leise bis zum Normal Modus, aber bei allen was danach kommt bringt er ein unangenehmes Fiepen mit. Aber das war es dann auch schon mit den Negativen zu meinen Server. Nun zu den Anwendungen die hier Laufen……
Als FTP Server kommt Serv-u zum Einsatz, leider immer noch als Trial da mir das Programm wirklich zu teuer ist, aber wir spielen ja Lotto und nächste Woche gewinnen wir ja ich denke mal dann ist eine Registrierung durchaus möglich. Der Serv-u FTP Server bietet neben FTP und FTP SSL Zugängen auch einen FTP Webzugang mit einer Komfortablen Oberfläche, für mich die FTP Server Software überhaupt. Als Mailserver läuft hier Kerio Connect in der aktuellen Version der neben POP3/SMTP und IMAP Zugängen auch einen SSL Webmail Zugang liefert, ein Normaler HTTP Zugang wird aus Sicherheitsgründen nicht angeboten. Als Schutz vor Spam kommt hier die Datenbank von Spamhaus.org und zusätzlich noch SpamAssassin zum Einsatz, des weiteren verfügt Kerio Connect über noch weitere Spam Unterdrückende Einstellungen. Als Virenschutz kommt AVG Antivirus 9 für Mailserver zum Einsatz was die eingehenden und ausgehenden Mails scannt und sich alle 2 Stunden Updates holt der neusten Virendefinitionen.
Als Webserver ist hier der kostenlose WAMP Stack von EasyPHP im Einsatz was neben den Apache Webserver, noch MySQL und PHP5 mitliefert. Für den MP3 Webserver kommt der kostenlose Vibestreamer zum Einsatz der es mir ermöglicht meine MP3 Dateien von überall anzuhören. Bedingt durch die vielen Angriffe und Login Versuche aus China & Indonesien auf den Mailserver wurde zusätzlich noch die Outpost Firewall installiert, um hauptsächlich ganze zugewiesene IP Bereiche zu blocken. Vor allem gerade die Zappel aus China nerven hier wirklich täglich mit ihre kläglichen Versuchen sich hier einzuloggen oder meinen Mailserver als Open Relay missbrauchen zu wollen. Als Backup Software kommt hier O&O Diskimage 6 zum Einsatz was täglich um 3 Uhr Inkrementelle Backups des ION 330 Pro macht. Als Multimedia Streaming Server benutze ich Tversity was mir ein Streaming auf die beiden Xbox360 ermöglicht. Anbei eine Kurzübersicht der momentanen Hardware, Software sowie Maximalen HD Platz.

Server Hardware : ASRock ION 330 Pro mit zirka 3TB HD´s, Synology DS-411J GB NAS mit nochmals 2,5TB HD, 2x Linksys SD2008 8x GB Switches, 1xLonghsine LCS-GS8124 24Port Gb Switch

Server Software unter Windows 7 64Bit : FTP Server (Serv-u), Mailserver (Kerio Connect), Webserver (EasyPHP Wamp Stack), MP3 Server (Vibestreamer), Firewall (Outpost Pro), VoiceChat (Teamspeak 3 Server), Virenschutz (AVG Antivirus), Backup (O&O Diskimage 6), Multimedia Server (Tversity)

Internet Router/Zugang : AVM FritzBox 7390 (VDSL 50Mbit Downstream 10Mbit Upstream)

[Zeige als Diashow]

[Mit PicLens anzeigen]

12►

ASRock ION 330 Pro Videos Part 1 von 2

Click here to view the embedded video.

Ein Besonderes Danke nochmal an alle Spender der letzten Spendenaktion, nur durch euch ist ausreichend Geld zusammengekommen für die 4GB RAM des ION und für die 1,5TB Platte des ION die hauptsächlich als tägliches Backup Medium dient für den ION 330 Pro, somit ist immer gewährleistet das im falle eines Ausfalles der HD die Daten nicht verloren gehen.