PaperCutは、自社の印刷管理ソフトウェアPaperCut NGおよびPaperCut MFの全バージョンに存在する脆弱性が、ゼロデイ攻撃でハッカーに実際に悪用されていると警告しています。
同社は顧客に対する攻撃の発生を確認しており、PaperCutのアプリケーションサーバーをインターネットに公開している組織に対し、Webインターフェースへのアクセスを信頼できるIPアドレスのみに直ちに制限するよう呼びかけています。
木曜日に公開された緊急セキュリティ勧告には、「PaperCut Softwareのセキュリティ対応チームは、PaperCut NGおよびPaperCut MFに影響を及ぼす脆弱性の悪用が実際に発生していることを確認し、調査を進めています」と記されています。
「顧客において確認済みのインシデントを把握しており、本件を最優先事項として対応しています」としています。
PaperCutによれば、この脆弱性はPaperCut NGおよびMFの全バージョンに影響しますが、同社は脆弱性の詳細や悪用の手口についてはまだ明らかにしていません。
同社のセキュリティチームは、ある大学の顧客から提供された情報をもとに、この脆弱性の再現に成功したとしています。
PaperCutは現在、インターネットに公開されたPaperCut NG/MFサーバーを利用する顧客向けに緊急パッチをリリースしています。
勧告には「これは、他の緩和策を講じられない、インターネット公開型のPaperCut NG/MFサーバーを利用する顧客向けの緊急パッチです」と記載されています。
同社は引き続き、アプリケーションサーバーをインターネットに公開している顧客に対し、ファイアウォールルールやネットワークアクセス制御を用いてWebインターフェースへのアクセスを信頼できるIPアドレスに制限するよう注意を呼びかけています。
PaperCutはまた、サーバーが侵害されているかどうかを示す可能性のある侵害指標(IOC)も公開しています。
これには、正規のPaperCutプロセスであるpc-app.exeにおける不審な挙動や、server.logファイルが改ざん・削除・欠落している場合が含まれます。
管理者はserver.log内で以下のようなエラーがないかも確認する必要があります。
ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CASTただし、PaperCutはこれらの指標が見当たらないからといって、サーバーが侵害されていないとは限らないと警告しています。
現時点でPaperCutは、攻撃の背後にいる主体や、攻撃者がサーバー侵害後に何を行っているか、データが窃取されているかどうかについては明らかにしていません。
PaperCutは、調査の進展に応じて、追加の侵害指標や対応策を随時勧告に反映していくとしています。
BleepingComputerはこの悪用について質問するためPaperCutに問い合わせており、回答が得られ次第記事を更新する予定です。
過去にも悪用されてきたPaperCutの脆弱性
PaperCutは、セキュリティ脆弱性が公表された後に脅威アクターの標的となってきた過去があります。
2023年4月、攻撃者は深刻な脆弱性であるCVE-2023-27350の悪用を開始しました。この脆弱性により、未認証の攻撃者が認証を回避し、脆弱なサーバー上でリモートからコードを実行できる状態になっていました。
その後Microsoftは、こうした攻撃の一部をClopランサムウェアの活動に関連づけました。Clopは脆弱なPaperCutサーバーを企業ネットワークへの初期侵入経路として悪用していました。Microsoftはまた、LockBitランサムウェア攻撃につながった侵入も確認しています。
PaperCutにはサーバー経由で送信された文書を保持できる印刷アーカイブ機能がありますが、Clopは後にBleepingComputerに対し、これらの脆弱性を被害者ネットワークへの初期侵入のために利用しただけで、PaperCutサーバーからアーカイブ文書を直接窃取する目的では使っていなかったと語っています。
この悪用は他の脅威アクターにも広がり、Microsoftはイランの国家支援を受けたハッキンググループもCVE-2023-27350を悪用していたと報告しています。
CISAとFBIは2023年5月に共同勧告を発表し、Bl00dyランサムウェアギャングも教育セクターに対する攻撃で脆弱なPaperCutサーバーを悪用していると警告しました。
