PaperCut hat eine Sicherheitswarnung an seine Kunden herausgegeben: Angreifer nutzen derzeit eine Schwachstelle in der Druckmanagement-Software PaperCut NG und PaperCut MF aktiv aus. Nach Darstellung des Herstellers sind sämtliche Versionen beider Produktlinien betroffen. Es handelt sich um Zero-Day-Angriffe, also um Ausnutzung einer Lücke, für die zum Zeitpunkt der ersten Angriffe kein Patch vorlag.
Inzwischen hat das Unternehmen einen außerplanmäßigen Patch für die Versionsstränge v25 und v26 bereitgestellt. In seiner Mitteilung erklärt PaperCut, man habe Kenntnis von bestätigten Vorfällen bei Kunden und behandle den Fall mit höchster Priorität. Die Untersuchung ist noch nicht abgeschlossen.
Öffentlich verfügbare technische Angaben sind bislang dünn. Weder zur Art des Fehlers noch zum konkreten Angriffsweg oder zur Identität der Angreifer liegen Informationen vor. PaperCut hat allerdings erste Kompromittierungsindikatoren veröffentlicht, mit denen Administratoren ihre Systeme auf Spuren eines Zugriffs prüfen können.
Die dringlichste Empfehlung des Herstellers richtet sich an alle Betreiber, deren PaperCut-NG/MF-Application-Server aus dem Internet erreichbar ist: Der Zugriff soll sofort auf vertrauenswürdige IP-Adressen beschränkt werden. „Nutzen Sie Firewall-Regeln, Netzwerkzugriffskontrollen oder gleichwertige Maßnahmen, um sicherzustellen, dass die Weboberflächen des PaperCut-Servers nicht von nicht vertrauenswürdigen Internetadressen aus erreichbar sind“, heißt es in der Mitteilung. Und weiter: „Ergreifen Sie diese Maßnahme jetzt, auch wenn Sie keine verdächtigen Aktivitäten beobachtet haben.“ Die Absicherung des Netzzugangs ist damit unabhängig vom Einspielen des Patches als eigenständige Sofortmaßnahme gedacht.
PaperCut-Installationen sind für Angreifer kein neues Ziel. 2023 wurde eine kritische Schwachstelle in PaperCut MF und NG ausgenutzt, geführt als CVE-2023-27350 mit einem CVSS-Wert von 9.8. Nach damaligen Erkenntnissen griffen russische Bedrohungsakteure ebenso auf die Lücke zu wie die finanziell motivierte Gruppe Lace Tempest. Über diesen Weg wurden die Ransomware-Familien Cl0p und LockBit auf kompromittierten Systemen ausgeliefert.
Die Vorgeschichte erklärt, warum PaperCut die aktuelle Warnung so nachdrücklich formuliert. Print-Management-Server sind in Organisationen typischerweise tief in die interne Infrastruktur eingebunden und verfügen über weitreichende Rechte im Netzwerk, was sie für Angreifer als Einstiegspunkt attraktiv macht.
Die Lage ist weiterhin in Bewegung: PaperCut kündigte an, weitere Informationen nachzureichen, sobald die laufende Untersuchung neue Erkenntnisse liefert. Betreiber sollten deshalb die Herstellermeldung im Blick behalten und die veröffentlichten Indikatoren regelmäßig gegen ihre Protokolldaten abgleichen.