Hewlett-Packard Software Update jest narzędziem służącym do automatycznego pobierania i instalacji najnowszych poprawek i sterowników. Tan Chew Keong odkrył lukę, która pozwala na przejęcie kontroli nad komputerem ofiary z zainstalowanym HP Software Update, poprzez błąd w kontrolkach ActiveX.
Na atak narażeni są użytkownicy przeglądarki Internet Explorer 6, którzy odwiedzą stronę zawierającą niebezpieczną kontrolkę. Po otwarciu witryny następuje błąd przepełnienia bufora i napastnik uzyskuje możliwość wykonania dowolnego kodu na atakowanym komputerze.
Błąd występuje także w Internet Explorer 7, ale włamywacz musi wymusić na użytkowniku odblokowanie obsługi ActiveX.
Dziury występują w oprogramowaniu w wersji 4.000.009.002 i wcześniejszych. HP opublikowało już odpowiednią poprawkę.
Luka w Hewlett-Packard Software jest wyjątkowo groźna dla posiadaczy komputerów firmy HP z preinstalowanym systemem Windows XP. Występuje tam zarówno podatna na atak wersja oprogramowania aktualizującego jak i Internet Explorer 6.
