solution Contentsolution Content

支援通訊- 資訊安全公告

文件 ID: c06051042

版本: 1

HPSBPI03583 修訂版 1 - ROCA - 脆弱 RSA 產生: HP 信賴平台模組 (TPM) 配件和某些 HP 企業印表機與 MFP 產品、某些具有標準 TPM 的 HP PageWidePrinter 和 MFP 產品

注意: 此 Security Bulletin 內的資訊必須盡快付諸實行。

發行日期 : 11-Jun-2018

上次更新日期 : 11-Jun-2018

潛在安全性影響:
遠端洩露資訊

弱點摘要
潛在安全性漏洞,稱為「ROCA: 脆弱 RSA 產生」已發現會伴隨 HP 信賴平台模組 (TPM) 配件和含 TPM 的印表機產生的 RSA 金鑰出現。 此漏洞可能會被遠端利用漏洞,允許遠端洩露資訊。
參考編號
CVE-2017-15361,PSR-2018-0069
獲支援軟件版本*: 僅列出受影響版本。
有關可能受到影響的印表機清單,請參閱以下的「解決方案」。
注意:
列出的韌體版本之前的所有印表機版本都可能受到影響。
背景
如需此資訊安全公告的 PGP 簽署版本,請寄送電子郵件至︰ hp-security-alert@hp.com
CVSS 3.0 基本指標
參考
基本向量
基本評分
CVE-2017-15361
AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
5.6
CVSS 相關資訊請見 HP 客戶通知: HPSN­2008­002。
解決方案
HP 已經為如下列表格所示的可能受影響印表機提供了韌體更新和暫時處理方法。
注意:
TPM 韌體僅與 FutureSmart 4 印表機韌體搭售。
若要獲取這個更新韌體, 請前往 www.hp.com 並遵循這些步驟:
  1. 按一下「 支援/軟體和驅動程式」。
  2. 按一下「 印表機」。
  3. 輸入下表中所列適當的印表機名稱至搜尋欄位。
  4. 按一下 Submit(送出)。
  5. 按一下適當的產品。
  6. 韌體,選擇適當的韌體更新,並按一下 下載
使用執行 FutureSmart 3 的印表機的客戶可以透過下面列出的暫時處理方法之一,或將其裝置升級到 FutureSmart 4 來降低已發現漏洞的風險。
  1. 透過印表機嵌入式 Web 伺服器產生認證時,請選取「 使認證可匯出」。 這不會使用到 TPM 認證產生功能。 指示位於文件中: 安裝、檢視和管理認證以確認 HP 嵌入式 Web 伺服器 (EWS) 中的資料安全性
  2. 使用 HP Security Manager 來產生和管理認證請求。 指示可以在 HP JetAdvantage Security Manager 認證管理中找到 (英文)。
  3. 在裝置外部產生新的 RSA 認證(例如透過硬體安全性模組)並將認證匯入裝置。 可以透過印表機嵌入式 Web 伺服器將認證匯入 HP 印表機。 匯入認證的指示位於文件中: 安裝、檢視和管理認證以確認 HP 嵌入式 Web 伺服器 (EWS) 中的資料安全性
注意:
針對標有星號 (*) 的韌體,請連絡 HP 支援取得韌體更新。 HP 連絡資訊可在 連絡 HP 下的 www.hp.com 找到。
產品名稱
已修復版本
SoftPaq #
HP 信賴平台模組配件
F5S62A
*在以下的圖表中找到印表機的韌體
HP LaserJet Enterprise M506
F2A70A, F2A71A
FS4: 2406048_029640(或更新版本)*
HP LaserJet Managed M506
F2A67A
FS4: 2406048_029640(或更新版本)*
HP 彩色 LaserJet Enterprise M553
B5L26A
FS4: 2406048_029643(或更新版本)*
HP Color LaserJet Managed M553 系列
B5L39A
FS4: 2406048_029643(或更新版本)*
HP OfficeJet Enterprise 彩色 X555
C2S11A, C2S11V, C2S12A, C2S12V, L1H45A
FS4: 2406048_029642 (或更新版本)
HP PageWide Enterprise Color 556
G1W46A, G1W46V, G1W47A, G1W47V
FS4: 2406048_029637 (或更新版本)
HP PageWide Managed Color E55650 系列
L3U44A
FS4: 2406048_029637 (或更新版本)
HP LaserJet Enterprise M605
E6B71A
FS4: 2406048_029639(或更新版本)*
HP LaserJet Enterprise M606
E6B73A
FS4: 2406048_029639(或更新版本)*
HP LaserJet Enterprise M607
K0Q14A, K0Q15A
FS4: 2406048_029638 (或更新版本)
HP LaserJet Enterprise M608
K0Q17A, K0Q18A, K0Q19A
FS4: 2406048_029638 (或更新版本)
HP LaserJet Enterprise M609
K0Q20A, K0Q21A, K0Q22A
FS4: 2406048_029638 (或更新版本)
HP LaserJet Managed E60055
M0P33A
FS4: 2406048_029638 (或更新版本)
HP LaserJet Managed E60065
M0P35A, M0P36A
FS4: 2406048_029638 (或更新版本)
HP LaserJet Managed E60075
M0P39A, M0P40A
FS4: 2406048_029638 (或更新版本)
HP Color LaserJet Managed M651 系列
H0DC9A, L8Z07A
FS4: 2406048_029632 (或更新版本)
HP PageWide Enterprise Color 765
J7Z04A
FS4: 2406048_029619 (或更新版本)
HP PageWide Managed Color E75160
J7Z06A
FS4: 2406048_029619 (或更新版本)
HP LaserJet Enterprise M806
CZ244A、CZ245A
FS4: 2406048_029646 (或更新版本)
HP 彩色 LaserJet Enterprise M855
A2W77A、A2W78A、A2W79A、D7P73A
FS4: 2406048_029626 (或更新版本)
HP LaserJet Enterprise 多功能事務機 M527
F2A76A、F2A77A、F2A81A
FS4: 2406048_029628 (或更新版本)
HP LaserJet Enterprise 潮流多功能事務機 M527
F2A78V
FS4: 2406048_029628 (或更新版本)
HP LaserJet Enterprise Managed MFP M527
F2A79A
FS4: 2406048_029628 (或更新版本)
HP LaserJet Enterprise Managed Flow MFP M527
F2A80A
FS4: 2406048_029628 (或更新版本)
HP 彩色 LaserJet Enterprise MFP M577
B5L46A, B5L47A
FS4: 2406048_029627 (或更新版本)
HP Color LaserJet Enterprise Flow M577 多功能印表機
B5L48A, B5L54A
FS4: 2406048_029627 (或更新版本)
HP Color LaserJet Managed MFP M577 系列
B5L49A
FS4: 2406048_029627 (或更新版本)
HP Color LaserJet Managed Flow MFP M577 系列
B5L50A
FS4: 2406048_029627 (或更新版本)
HP Officejet Enterprise 彩色多功能事務機 X585
B5L04A, B5L05A
FS4: 2406048_029636 (或更新版本)
HP OfficeJet Enterprise Color Flow MFP X585
B5L06A, B5L07A
FS4: 2406048_029636 (或更新版本)
HP OfficeJet Managed Color MFP X585
L3U40A, L3U41A
FS4: 2406048_029636 (或更新版本)
HP PageWide Enterprise Color MFP 586
G1W39A, G1W39V, G1W40A, G1W40V
FS4: 2406048_029624 (或更新版本)
HP PageWide Enterprise Color Flow MFP 586
G1W41A, G1W41V
FS4: 2406048_029624 (或更新版本)
HP PageWide Managed Color MFP E58650 系列
L3U42A
FS4: 2406048_029624 (或更新版本)
HP PageWide Managed Color MFP Flow E58650 系列
L3U43A
FS4: 2406048_029624 (或更新版本)
HP LaserJet Enterprise 多功能事務機 M630
B3G85A, J7X28A, B3G84A
FS4: 2406048_029631 (或更新版本)
HP LaserJet Enterprise 潮流多功能事務機 M630
P7Z47A, B3G86A
FS4: 2406048_029631 (或更新版本)
HP LaserJet Managed MFP M630
L3U61A
FS4: 2406048_029631 (或更新版本)
HP LaserJet Managed Flow MFP M630
L3U62A, P7Z48A
FS4: 2406048_029631 (或更新版本)
HP LaserJet Enterprise 多功能事務機 M631
J8J64A、J8J63A、J8J65A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Enterprise 多功能事務機 M632
J8J70A, J8J71A, J8J72A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Enterprise 多功能事務機 M633
J8J76A, J8J78A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Managed MFP E62555dn
J8J66A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Managed MFP E62565hs
J8J73A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Managed Flow MFP E62565h, z
J8J74A, J8J79A
FS4: 2406048_029629 (或更新版本)
HP LaserJet Managed Flow MFP E62575z
J8J80A
FS4: 2406048_029629 (或更新版本)
HP 彩色 LaserJet Enterprise MFP M680
CZ248A、CZ249A
FS4: 2406048_029633 (或更新版本)
HP Color LaserJet Enterprise Flow M680 多功能印表機
CZ250A、CZ251A
FS4: 2406048_029633 (或更新版本)
HP Color LaserJet Managed MFP M680
L3U47A
FS4: 2406048_029633 (或更新版本)
HP Color LaserJet Managed Flow MFP M680
L3U48A
FS4: 2406048_029633 (或更新版本)
HP PageWide Enterprise Color MFP 780
J7Z10A, J7Z09A
FS4: 2406048_029621 (或更新版本)
HP PageWide Enterprise Color MFP 785
J7Z11A, J7Z12A
FS4: 2406048_029621 (或更新版本)
HP PageWide Managed Color Flow MFP E77650
J7Z08A, J7Z14A
FS4: 2406048_029621 (或更新版本)
HP PageWide Managed Color Flow MFP E77660
Z5G77A, J7Z03A, J7Z07A, J7Z05A
FS4: 2406048_029621 (或更新版本)
HP PageWide Managed Color MFP E77650
J7Z13A, Z5G79A
FS4: 2406048_029621 (或更新版本)
HP LaserJet Enterprise 潮流多功能事務機 M830z
CF367A, D7P68A
FS4: 2406048_029645 (或更新版本)
HP LaserJet Managed Flow MFP M830 系列
L3U65A
FS4: 2406048_029645 (或更新版本)
HP Color LaserJet Enterprise Flow M880 多功能印表機
A2W76A、A2W75A、D7P71A
FS4: 2406048_029641 (或更新版本)
HP Color LaserJet Managed MFP M880 系列
L3U51A, L3U52A
FS4: 2406048_029641 (或更新版本)
...
協力廠商安全性修補程式: 套用要安裝在執行 HP 軟體產品之系統上的協力廠商安全性修補程式時,請務必遵循客戶的修補程式管理原則。
支援: 有關實施此安全性公告的建議的問題,請造訪 http://www.hp.com/go/contacthp 以了解有關 HP 支援選項的資訊。
報告: 若要通報任何 HP 支援產品的潛在安全性漏洞,請寄送電子郵件至: hp-security-alert@hp.com.
訂閱: 若要啟始訂閱以便透過電子郵件接收日後發佈的「HP 資訊安全公告」,請造訪 https://h41369.www4.hp.com/alerts-signup.php?lang=en&cc=US&jumpid=hpsc_profile
資訊安全公告存檔: 若要檢視發行的資訊安全公告,請搜尋 HP 支援網站的「資訊安全公告」。
軟體產品類別: 「軟體產品類別」在標題中,以 HPSB 之後的兩個字元來表示。
PI
HP 列印和影像處理
HF
HP 硬體和韌體
GN
HP 通用軟體
強烈建議使用 PGP,將提供給 HP 的安全性相關資訊加密,尤其是重要資訊。
若要取得安全性警示 PGP 金鑰,請傳送如下的電子郵件:
主旨: 取得金鑰
您必須時常檢視系統管理及安全措施,以維持系統穩定。為了提供客戶最新、最安全的解決方案,HP 將會持續檢視並加強軟體產品的安全性。

"我們亦將廣為流傳此 Security Bulletin,以使受影響的 HP 產品用戶更加注意本文所列的重要保安資訊。 HP 建議所有用戶自行根據實際情況判斷這些資訊的適用性,並且採取適當的措施。 HP 並不保證這些資訊的精確性及完整性適用於所有用戶,因此 HP 對於用戶因採用或忽視本文件內的資訊而造成的損害概不負責。 在相關法律所允許之最大範圍內,HP 不承擔任何瑕疵責任擔保,不論其為明示或默示者,其中包括適售性、適合某特定用途以及不侵害他人權益之擔保責任。"
修訂歷程記錄 : 版本 1: 2018 年 6 月 8 日初次發行版

HP Inc. 對於本文件在技術上或編輯上的錯誤或疏漏概不負責。 本資訊以「維持現狀」的形式提供,不作任何類型的保證。 在法律許可情況下,不論 HP 或其附屬公司、承包商或供應商對於偶然的、特殊的或引發的損害 (包括停工成本;利益損失;採購替代產品或服務之相關損害;或是資料遺失或軟體重建之損害) 概不負責。 本文所載資訊得隨時更改且不另行通知。 本文所述之 HP Inc. 及 HP 產品名稱為 HP Inc. 在美國及其他國家/地區的商標。 本文所提及之其他產品與公司名稱皆為其個別所有者的商標。