PaperCut, printadministrationssoftwaren der bruges af organisationer, skoler og offentlige myndigheder over hele verden, har udstedt en nødopdatering, efter at sikkerhedsforskere har bekræftet, at en ny zero-day-sårbarhed aktivt udnyttes i naturen. Fejlen påvirker PaperCut NG og PaperCut MF, de to kerneprodukter, som virksomheden sælger for at hjælpe virksomheder med at spore, administrere og sikre print på tværs af deres netværk. For it-teams er beskeden klar: opdater nu, for angriberne har allerede et forspring.

Hvad PaperCut-sårbarheden er, og hvem der er berørt

PaperCut NG og MF er udbredt i virksomhedsmiljøer, universiteter og offentlige sektor-netværk, og de kører ofte stille og roligt i baggrunden som upåagtet infrastruktur, som få mennesker tænker på, indtil noget går galt. Denne ubemærkethed er en del af problemet. Printadministrationsservere kører ofte med forhøjede rettigheder og bred netværksadgang, så de kan kommunikere med printere, brugerbiblioteker og godkendelsessystemer, hvilket gør dem til et attraktivt fodfæste for angribere, der kompromitterer dem.

Dette er ikke første gang, PaperCut har befundet sig i denne position. I 2023 gjorde en sårbarhed sporet som CVE-2023-27350 det muligt for uautentificerede angribere at omgå godkendelse og kæde denne adgang sammen med PaperCuts indbyggede scriptfunktionalitet for at udføre ondsindet kode eksternt. Den fejl blev opsnappet af ransomware-tilknyttede grupper inden for uger efter offentliggørelsen og blev genstand for en formel advisering fra CISA. Den nyligt offentliggjorte zero-day følger et lignende mønster: aktiv udnyttelse opdaget før en opdatering var bredt tilgængelig, hvilket tvang PaperCuts sikkerhedsteam til at handle hurtigt med en rettelse.

Hvordan angribere udnytter den i naturen

Mens de fulde tekniske detaljer stadig er under udarbejdelse, afspejler det udnyttelsesmønster, PaperCut har fremhævet, det, sikkerhedsteams tidligere har set med denne software: angribere målretter eksponerede eller internetvendte PaperCut-instanser for at opnå uautoriseret adgang og bruger derefter det fodfæste til at bevæge sig lateralt inde i et netværk. Fordi printservere ofte har tillidsfulde relationer til domænecontrollere og fildelinger, kan en enkelt kompromitteret PaperCut-instans give en angriber en meget større sprængradius, end softwarens lave profil antyder.

Det faktum, at dette beskrives som en zero-day, hvilket betyder, at det blev udnyttet før en opdatering eksisterede, er betydningsfuldt. Det betyder, at organisationer, der kører sårbare versioner, var eksponeret uden nogen måde at forsvare sig imod det gennem opdatering alene, i det mindste indtil PaperCuts nødoppdatering blev tilgængelig. Det tidsmæssige hul er præcis, hvad ransomware-grupper og andre økonomisk motiverede aktører leder efter.

Umiddelbare afbødningstrin for it-administratorer og fjernarbejdere

For it-administratorer er prioriteten lige nu ligetil: Anvend PaperCuts nødopdatering så hurtigt som muligt. Ud over opdatering er der et par yderligere trin, der er værd at tage med det samme:

  • Kontrollér, om din PaperCut-server er eksponeret mod det offentlige internet, og begræns adgangen, hvis den ikke behøver at være det.
  • Gennemgå nylige godkendelseslogs på PaperCut-servere for usædvanlig admin-aktivitet eller uventet scriptudførelse.
  • Segmentér printadministrationsservere fra følsomme dele af netværket, hvor det er muligt, så et kompromis ikke automatisk oversættes til bredere adgang.
  • Bekræft, at fjernadgangsværktøjer, herunder VPN'er brugt af hybrid- og fjernansatte, er konfigureret med stærk godkendelse og ikke utilsigtet eksponerer interne administrationsgrænseflader til det bredere internet.

Fjern- og hybridansatte administrerer typisk ikke PaperCut-servere direkte, men de er berørt af den bredere risiko. Hvis et virksomhedsnetværk kompromitteres gennem en sårbar printserver, kan alle data, der er tilgængelige over det netværk, herunder filer, legitimationsoplysninger og interne systemer nået via VPN, potentielt blive eksponeret. At gennemgå, hvordan din organisations fjernadgangspolitikker er konfigureret, er en rimelig forholdsregel, hver gang en udbredt virksomhedsinfrastruktur findes under aktivt angreb.

Hvorfor dette betyder noget for ransomware- og dataafpresningsrisiko

Uopdateret virksomhedssoftware som PaperCut har gentagne gange tjent som et tidligt indgangspunkt i ransomware-kampagner, netop fordi det ofte overses i opdateringsstyringscyklusser sammenlignet med mere højtprofilerede systemer som mailservere eller VPN-gateways. Når angribere først får et fodfæste gennem et værktøj som PaperCut, involverer de næste faser typisk privilegieeskalering, lateral bevægelse og til sidst datatyveri eller kryptering til afpresning. PaperCut-hændelsen i 2023 viste, hvor hurtigt ransomware-tilknyttede grupper kan bevæbne en printadministrationsfejl, når den først er offentlig, og denne nye zero-day rejser samme bekymring, kun med mindre forhåndsadvarsel, da udnyttelse begyndte før en opdatering eksisterede.

Hvad dette betyder for dig

Hvis din organisation kører PaperCut NG eller MF, så behandl dette som en akut opdateringsprioritet, ikke en rutineopdatering. Hvis du arbejder eksternt eller i en hybridordning, er denne hændelse en god påmindelse om, at din organisations overordnede netværkssikkerhed, herunder hvordan din VPN og fjernadgangsværktøjer er konfigureret, direkte påvirker, hvor eksponeret dine data er, når et internt system kompromitteres. Du behøver ikke selv at administrere PaperCut-serveren for at blive påvirket af, hvad der sker, hvis den bliver brudt.

PaperCut zero-day-udnyttelsen er en påmindelse om, at virksomhedssoftware langt uden for rampelyset kan blive det svage led, der eksponerer et helt netværk. It-administratorer bør anvende nødopdateringen med det samme og revidere eksponeringen på printadministrationssystemer, mens fjernarbejdere og sikkerhedsteams ligeså bør bruge dette øjeblik til at genbesøge fjernadgangspolitikker som en del af en bredere defense-in-depth-strategi. At holde sig opdateret på adviseringer som denne og handle hurtigt på dem forbliver en af de mest effektive måder at holde sig foran ransomware-grupper, der leder efter det næste uopdaterede indgangspunkt.