PaperCut 警告 NG 和 MF 漏洞正被用于零日攻击

PaperCut 正在警告，黑客正在零日攻击中积极利用其所有版本 PaperCut NG 和 PaperCut MF 打印管理软件中的一个漏洞。
该公司表示已获悉针对客户的已确认攻击，并敦促拥有面向互联网的 PaperCut 应用服务器的组织立即将对 Web 界面的访问限制为受信任的 IP 地址。
"PaperCut 软件安全响应团队正在调查针对影响 PaperCut NG 和 PaperCut MF 的漏洞的积极利用情况，"周四发布的一份紧急安全公告写道。
"我们已获悉已确认的客户事件，并正以最高优先级处理此事。"
PaperCut 表示该漏洞影响所有版本的 PaperCut NG 和 MF，但未分享有关该漏洞或其利用方式的详细信息。
该公司表示，其安全团队利用一所大学客户提供的信息复现了该漏洞。
PaperCut 现已为拥有面向公众的 PaperCut NG/MF 服务器的客户发布了紧急补丁。
"这是一份针对拥有面向公众的 PaperCut NG/MF 服务器且无法采取其他缓解措施的客户的紧急补丁，"公告写道。
该公司继续警告其应用服务器暴露于互联网的客户，使用防火墙规则或网络访问控制将其 Web 界面限制为受信任的 IP 地址。
PaperCut 还分享了可能表明服务器已被入侵的入侵指标（IoC）。
这些指标包括来自合法 PaperCut pc-app.exe 进程的可疑活动，以及已被修改、删除或丢失的 server.log 文件。
管理员还应在 server.log 中查找以下错误：

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

然而，PaperCut 警告称，缺乏指标并不意味服务器未被入侵。
目前，PaperCut 尚未披露攻击背后的主谋、攻击者在入侵服务器后做了什么，或者数据是否被盗。
PaperCut 表示，随着调查的继续，它将用更多的入侵指标和修复指导建议持续更新其公告。
BleepingComputer 已联系 PaperCut 询问有关此漏洞利用的问题，并在收到回复后更新报道。
此前 PaperCut 漏洞在攻击中被利用
PaperCut 在安全漏洞披露后有被威胁行为者针对的历史。
2023 年 4 月，攻击者开始利用严重的 CVE-2023-27350 PaperCut 漏洞，该漏洞允许未经身份验证的攻击者绕过身份验证并在易受攻击的服务器上远程执行代码。
微软后来将其中一些攻击与 Clop 勒索软件行动联系起来，该行动利用易受攻击的 PaperCut 服务器获取对公司网络的初始访问权限。微软还观察到导致 LockBit 勒索软件攻击的入侵事件。
虽然 PaperCut 具有可保留通过服务器发送的文档的打印归档功能，但 Clop 后来告诉 BleepingComputer，他们利用这些漏洞获取对受害者网络的初始访问权限，而非直接从 PaperCut 服务器窃取归档文档。
该漏洞利用蔓延到其他威胁行为者，微软报告称伊朗国家支持的黑客组织也在利用 CVE-2023-27350。
CISA 和 FBI 于 2023 年 5 月发布联合公告，警告 Bl00dy 勒索软件团伙也在针对教育部门的攻击中利用易受攻击的 PaperCut 服务器。