PaperCut hat einen dringenden Sicherheitshinweis veröffentlicht, in dem das Unternehmen die aktive Ausnutzung einer Schwachstelle in seiner Druckmanagement-Software einräumt. Betroffen sind nach Herstellerangaben alle Versionen von PaperCut NG und PaperCut MF. Technische Details zur Lücke hält das Unternehmen bislang zurück, ebenso Angaben zum Ablauf der Angriffe.
„Das Security-Response-Team von PaperCut Software untersucht die aktive Ausnutzung einer Schwachstelle, die PaperCut NG und PaperCut MF betrifft", heißt es in dem Hinweis. „Wir wissen von bestätigten Vorfällen bei Kunden und behandeln die Angelegenheit mit höchster Priorität." Reproduzieren konnte das Team die Schwachstelle demnach mithilfe von Informationen eines Universitätskunden.
Als Sofortmaßnahme empfiehlt PaperCut allen Organisationen mit aus dem Internet erreichbaren Application Servern, die Weboberflächen über Firewall-Regeln oder Netzwerkzugriffskontrollen auf vertrauenswürdige IP-Adressen einzuschränken. Zusätzlich stehen inzwischen Notfall-Patches bereit: „Dies ist ein Notfall-Patch für Kunden mit öffentlich erreichbaren PaperCut-NG/MF-Servern, die keine anderen Gegenmaßnahmen ergreifen können", so der Hinweis.
Zur Überprüfung eigener Systeme hat PaperCut Kompromittierungsindikatoren veröffentlicht. Dazu zählen auffälliges Verhalten des ansonsten legitimen Prozesses pc-app.exe sowie server.log-Dateien, die verändert, gelöscht oder gar nicht mehr vorhanden sind. Administratoren sollen zudem auf bestimmte Fehlermeldungen in server.log achten. Das Unternehmen schränkt allerdings ein, dass fehlende Indikatoren keinen Beleg dafür darstellen, dass ein Server nicht kompromittiert wurde. Der Sicherheitshinweis soll im Verlauf der Untersuchung um weitere Indikatoren und Hinweise zur Bereinigung ergänzt werden.
Wer für die Angriffe verantwortlich ist, welche Aktivitäten nach der Kompromittierung erfolgen und ob Daten entwendet werden, teilte PaperCut bislang nicht mit. BleepingComputer hat den Hersteller mit Fragen zur Ausnutzung konfrontiert.
PaperCut-Server stehen seit Jahren im Fokus von Angreifern. Im April 2023 begannen Angriffe auf die kritische Schwachstelle CVE-2023-27350, über die sich nicht authentifizierte Angreifer an der Anmeldung vorbeischleusen und aus der Ferne Code auf verwundbaren Servern ausführen konnten. Microsoft brachte einen Teil dieser Angriffe später mit der Ransomware-Gruppe Clop in Verbindung, die kompromittierte PaperCut-Server als Einstiegspunkt in Unternehmensnetze nutzte; ebenso beobachtete Microsoft Einbrüche, die in LockBit-Ransomware-Angriffe mündeten.
Obwohl PaperCut mit dem Print Archiving eine Funktion besitzt, die über einen Server gesendete Dokumente aufbewahren kann, erklärte Clop gegenüber BleepingComputer später, man habe die Schwachstellen für den Erstzugang zu Opfernetzwerken genutzt und nicht, um archivierte Dokumente direkt von PaperCut-Servern zu stehlen.
Die Ausnutzung weitete sich anschließend auf weitere Akteure aus: Microsoft berichtete, dass auch iranische staatlich unterstützte Gruppen CVE-2023-27350 angriffen. CISA und FBI warnten im Mai 2023 in einem gemeinsamen Hinweis davor, dass die Bl00dy Ransomware Gang verwundbare PaperCut-Server für Angriffe auf den Bildungssektor ausnutzte.