PaperCut zakrpa zbog aktivne zloupotrebe propusta u NG i MF
Aktivna zloupotreba pogađa PaperCut NG i MF
PaperCut je upozorio korisnike da napadači aktivno zloupotrebljavaju ranjivost nultog dana u svim verzijama softvera za upravljanje štampom PaperCut NG i PaperCut MF. Kompanija je objavila hitnu zakrpu za verzije 25 i 26 i potvrdila incidente kod korisnika.
Istraga je u toku, a PaperCut zasad nije objavio tehničke pojedinosti o samom propustu, načinu njegove zloupotrebe niti o akterima koji stoje iza napada. Zbog toga organizacije ne bi trebalo da čekaju dodatne informacije pre uvođenja zaštitnih mera.
Indikatori koje treba proveriti
PaperCut je naveo nekoliko pokazatelja moguće kompromitacije na Application Server-u. Timovi za bezbednost treba da obrate pažnju na upozorenja sistema za detekciju upada, zaštitu krajnjih tačaka i nadzor mreže, naročito kada ukazuju na sumnjive aktivnosti nakon kompromitacije povezane sa procesom pc-app.exe.
Važni tragovi su i nestale, neočekivano skraćene ili obrisane datoteke server.log. U istom dnevniku mogu se pojaviti unosi ERROR No suitable driver found for jdbc:no:x i ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
Hitne mere za internet izložene servere
Organizacije čiji je PaperCut NG/MF Application Server dostupan sa interneta treba odmah da ograniče pristup samo na pouzdane IP adrese. PaperCut preporučuje pravila zaštitnog zida, mrežne kontrole pristupa ili ekvivalentne mere kojima se sprečava pristup veb interfejsima servera sa nepouzdanih internet adresa.
Ta mera se preporučuje i kada nema vidljivih znakova sumnjive aktivnosti. Pored ograničavanja pristupa, potrebno je primeniti dostupnu hitnu zakrpu za verziju 25 ili 26, proveriti navedene indikatore i sačuvati relevantne logove za dalju istragu.
Širi bezbednosni kontekst
PaperCut NG i MF bili su meta i 2023. godine, kada je kritična ranjivost CVE-2023-27350, sa CVSS ocenom 9,8, korišćena za isporuku ransomwarea Cl0p i LockBit. Tada su zloupotrebu povezivali sa ruskim akterima pretnji i finansijski motivisanom grupom Lace Tempest.
Praktičan zaključak za poslovanje je jasan: PaperCut servere treba tretirati kao bezbednosno osetljivu infrastrukturu, bez nepotrebne javne dostupnosti, uz ubrzano zakrpavanje i redovan nadzor procesa i dnevnika događaja.