PaperCut, programvaren for utskriftsadministrasjon som brukes av organisasjoner, skoler og offentlige etater over hele verden, har utgitt en nødoppdatering etter at sikkerhetsforskere bekreftet at en ny zero-day-sårbarhet aktivt utnyttes i naturen. Feilen påvirker PaperCut NG og PaperCut MF, de to kjerne produktene selskapet selger for å hjelpe bedrifter med å spore, administrere og sikre utskrift på tvers av nettverkene sine. For IT-team er beskjeden krystallklar: oppdater nå, for angriperne har allerede et forsprang.

Hva PaperCut-sårbarheten er og hvem som er berørt

PaperCut NG og MF er utbredt distribuert i bedriftsmiljøer, universiteter og offentlige sektor-nettverk, og sitter ofte stille i bakgrunnen som upåaktet infrastruktur som få tenker på før noe går galt. Denne anonymiteten er en del av problemet. Utskriftsadministrasjonsservere kjører ofte med forhøyede rettigheter og bred nettverkstilgang slik at de kan kommunisere med skrivere, brukerkataloger og autentiseringssystemer, noe som gjør dem til et attraktivt fotfeste for angripere som kompromitterer dem.

Dette er ikke første gang PaperCut befinner seg i denne situasjonen. I 2023 tillot en sårbarhet sporet som CVE-2023-27350 uautentiserte angripere å omgå autentisering og koble denne tilgangen med PaperCuts innebygde skriptfunksjonalitet for å eksekvere skadelig kode eksternt. Den feilen ble plukket opp av løsepengevirus-tilknyttede grupper innen uker etter avsløringen og ble gjenstand for en formell anbefaling fra CISA. Den nylig avslørte zero-day-sårbarheten følger et lignende mønster: aktiv utnyttelse oppdaget før en oppdatering var allment tilgjengelig, noe som tvang PaperCuts sikkerhetsteam til å handle raskt med en løsning.

Hvordan angripere utnytter den i naturen

Mens fullstendige tekniske detaljer fortsatt er i ferd med å komme frem, speiler utnyttelsesmønsteret PaperCut har flagget det sikkerhetsteam har sett før med denne programvaren: angripere som targeter eksponerte eller internettvendte PaperCut-instanser for å få uautorisert tilgang, og deretter bruker dette fotfestet til å bevege seg lateralt inni et nettverk. Fordi utskriftsservere ofte har betrodde relasjoner med domenekontrollere og fildelinger, kan en enkelt kompromittert PaperCut-instans gi en angriper et mye større skadepotensial enn det programvarens lave profil skulle tilsi.

Det faktum at dette beskrives som en zero-day, som betyr at den ble utnyttet før en oppdatering eksisterte, er betydningsfullt. Det betyr at organisasjoner som kjører sårbare versjoner var eksponert uten mulighet til å forsvare seg gjennom oppdatering alene, i hvert fall inntil PaperCuts nødoppdatering ble tilgjengelig. Dette tidsgapet er nøyaktig hva løsepengevirusgrupper og andre økonomisk motiverte aktører ser etter.

Umiddelbare tiltak for IT-administratorer og eksterne arbeidere

For IT-administratorer er prioriteringen akkurat nå enkel: bruk PaperCuts nødoppdatering så snart som mulig. Utover oppdatering er det noen ekstra steg som er verdt å ta umiddelbart:

  • Sjekk om PaperCut-serveren din er eksponert mot det offentlige internett og begrens tilgangen hvis det ikke er nødvendig.
  • Gjennomgå nylige autentiseringslogger på PaperCut-servere for uvanlig administratoraktivitet eller uventet skripteksekvering.
  • Segmenter utskriftsadministrasjonsservere fra sensitive deler av nettverket der det er mulig, slik at en kompromittering ikke automatisk oversettes til bredere tilgang.
  • Bekreft at eksterne tilgangsverktøy, inkludert VPN-er som brukes av hybrid- og fjernansatte, er konfigurert med sterk autentisering og ikke utilsiktet eksponerer interne administrasjonsgrensesnitt til det bredere internett.

Fjern- og hybridarbeidere administrerer vanligvis ikke PaperCut-servere direkte, men de påvirkes av den bredere risikoen. Hvis et bedriftsnettverk kompromitteres gjennom en sårbar utskriftsserver, kan all data som er tilgjengelig over det nettverket, inkludert filer, legitimasjon og interne systemer nådd via VPN, potensielt bli eksponert. Å gjennomgå hvordan organisasjonens retningslinjer for ekstern tilgang er konfigurert er en rimelig forholdsregel når som helst en mye brukt bedriftsinfrastrukturkomponent er funnet å være under aktivt angrep.

Hvorfor dette er viktig for risikoen for løsepengevirus og datautpressing

Uoppdatert bedriftsprogramvare som PaperCut har gjentatte ganger tjent som et tidlig inngangspunkt i løsepengeviruskampanjer, nettopp fordi den ofte overses i oppdateringssykluser sammenlignet med mer profilerte systemer som e-postservere eller VPN-gatewayer. Når angripere får et fotfeste gjennom et verktøy som PaperCut, innebærer de neste fasene vanligvis privilegieeskalering, lateral bevegelse, og til slutt datatyveri eller kryptering for utpressing. PaperCut-hendelsen i 2023 viste hvor raskt løsepengevirus-tilknyttede grupper kan bevæpne en utskriftsadministrasjonsfeil når den er offentlig, og denne nye zero-day-sårbarheten reiser samme bekymring, bare med mindre forhåndsvarsel siden utnyttelse begynte før en oppdatering eksisterte.

Hva dette betyr for deg

Hvis organisasjonen din kjører PaperCut NG eller MF, behandle dette som en hasteoppdateringsprioritet, ikke en rutinemessig oppdatering. Hvis du jobber eksternt eller i en hybridordning, er denne hendelsen en god påminnelse om at organisasjonens overordnede nettverkssikkerhet, inkludert hvordan VPN-en og eksterne tilgangsverktøy er konfigurert, direkte påvirker hvor eksponert dataene dine er når et internt system blir kompromittert. Du trenger ikke å administrere PaperCut-serveren selv for å bli påvirket av hva som skjer hvis den blir brutt.

PaperCut zero-day-utnyttelsen er en påminnelse om at bedriftsprogramvare langt utenfor rampelyset kan bli den svake lenken som eksponerer et helt nettverk. IT-administratorer bør bruke nødoppdateringen umiddelbart og revidere eksponering på utskriftsadministrasjonssystemer, mens eksterne arbeidere og sikkerhetsteam bør bruke dette øyeblikket til å revurdere retningslinjer for ekstern tilgang som en del av en bredere forsvar-i-dybden-strategi. Å holde seg oppdatert på anbefalinger som denne, og handle raskt på dem, forblir en av de mest effektive måtene å holde seg i forkant av løsepengevirusgrupper som leter etter det neste uoppdaterte inngangspunktet.