PaperCut Software hat Notfall-Patches für seine Druckmanagement-Produkte NG und MF veröffentlicht. Anlass ist eine Zero-Day-Schwachstelle, die nach Angaben des Herstellers bereits angegriffen wird. Eine CVE-Kennung liegt bislang nicht vor, technische Einzelheiten zur Lücke hat das Unternehmen nicht offengelegt.
“Uns sind bestätigte Vorfälle bei Kunden bekannt, und wir behandeln die Angelegenheit mit höchster Priorität. Unsere Untersuchung dauert an”, heißt es in der Sicherheitsmitteilung von PaperCut. Wer für die Angriffe verantwortlich ist, blieb offen.
Neben dem Einspielen der Patches rät der Hersteller dazu, den Anwendungsserver vom Internet zu trennen und den Zugriff auf vertrauenswürdige IP-Adressen zu begrenzen.
Für Administratoren, die prüfen wollen, ob ihre Installation bereits betroffen ist, hat PaperCut mehrere Kompromittierungsindikatoren veröffentlicht. Dazu zählt eine verdächtige Datei mit dem Namen pc-app.exe. Ihr Auftauchen deutet darauf hin, dass die Angreifer nach dem erfolgreichen Einbruch Schadsoftware oder weitere Werkzeuge auf dem System ablegen.
Ein zweiter Hinweis betrifft die Protokolldateien: Unerwartet gekürzte oder gelöschte server.log-Dateien können laut PaperCut auf eine Kompromittierung hindeuten. Das Entfernen oder Verändern von Logdateien gilt als typischer Versuch von Angreifern, ihre Spuren zu verwischen.
PaperCut NG/MF ist bereits mehrfach ins Visier von Angreifern geraten. Der Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) der US-Cybersicherheitsbehörde CISA listet drei Lücken in der Software. Zwei davon wurden in Ransomware-Angriffen ausgenutzt. Die nun bekannt gewordene Schwachstelle wurde bislang nicht in den KEV-Katalog aufgenommen.
Wie groß die potenzielle Angriffsfläche ist, zeigen Daten der ShadowServer Foundation: Rund 1.000 PaperCut-Instanzen sind derzeit aus dem Internet erreichbar, der Großteil davon in Nordamerika und Europa.