HP服务器等硬件软件更新包中存在漏洞

    近日国外媒体有消息称：惠普公司计算机中捆绑的补丁管理程序中存在固定的漏洞，致使惠普旗下的打印机及其他硬件产品都可能被黑客攻击。

    当用户所订阅的安全警报服务收到安全警报时，惠普表示，用户如果立即运行软件进行更新，该漏洞就将会启动，上周由一位只知道他的别名为" porkythepig "的波兰研究员揭露。有一部分漏洞存在于更新服务的ActiveX控制器中，它可被用于执行远程代码或取得额外的存取权限，porkythepig说道。他还发布了可以进行概念验证的漏洞代码，展示了利用其中的漏洞改写并损坏Windows系统程序文件，致使受攻击的电脑瘫痪。

    这就必定需要"brick（砖底层）"系统，因为许多惠普硬件及康柏电脑的标准配置中不包括恢复CD或DVD ，而是位操作系统及应用还原这些文件的硬盘驱动器。 （那些被分割开的部分可能持续复苏） 。

    惠普公司的发言人，周五指示用户可以通过运行已经应用在任何计算机上的软件来进行更新，即使更新服务，即使该程序从来没有进行更新。上周赛门铁克公司建议道，运行更新就一定会禁用具有瑕疵的ActiveX控制器，通过设置在Windows注册表-补丁中的"杀位（kill bit）"选项。尽管无法得到惠普官方的证实，但这个问题确实存在着。

    丹麦漏洞跟踪公司Secunia将ASP外挂软件更新问题，列第二位"高度危机"软件在全球威胁性软件排行榜中，但目前被指存在漏洞的惠普公司，只在排名中列为"尽快解决该漏洞" 。

    惠普也承认，漏洞软件的更新，先前完全没有想到会扩展的这么迅速。上周，据porkythepig推测最新的漏洞将影响83个相同型号的笔记本电脑
，其他在12月12日已被攻击。然后惠普方面表示可以向其申请新的安装在电脑，打印机，扫描仪或照相机上的应用程序。

    不接受惠普安全警报的用户们也可以收到电子邮件的警报，来进行更新。上周五，在微软的安全邮件列表中也将其加入，以警示用户们。

    时至本周一惠普公司依旧未做出回应的反馈。