PaperCut 警告打印管理解决方案中存在被利用的漏洞

打印管理解决方案提供商 PaperCut 警告组织，最近修补的严重漏洞的利用已经开始。

Papercut 提供了一个称为 PaperCut MF/NG 的打印管理系统，它提供监视和控制功能。使用 PaperCut NG，组织可以管理和控制打印，而 PaperCut MF 允许他们管理和跟踪非玻璃复印机活动。

跟踪为 CVE-2023-27350（CVSS 评分为 9.8），被利用的漏洞被描述为 PaperCut MF/NG 的 SetupCompleted 类中的不当访问控制问题。

成功利用此安全缺陷允许未经身份验证的远程攻击者绕过身份验证并使用系统权限执行任意代码。

 PaperCut 的公告中写道：“我们已经确认，在某些情况下，这允许未经身份验证的攻击者在 PaperCut 应用服务器上进行远程代码执行 (RCE)。这可以远程完成，无需登录。”

该问题影响 PaperCut MF 和 NG 8.0 及更高版本。该公司于 2023 年 3 月通过发布 PaperCut MF 和 PaperCut NG 版本 20.1.7、21.2.11 和 22.0.9 修补了该漏洞，并敦促客户尽快更新他们的安装，因为漏洞利用已经开始。

“请注意，截至 2023 年 4 月 18 日，我们有证据表明未打补丁的服务器正在被野外利用，”该公司表示。应用程序服务器和站点服务器都会受到影响。

PaperCut 建议查看服务器访问日志并执行恶意软件扫描，以识别漏洞利用导致的任何可疑活动迹象。

“如果您怀疑您的服务器已受到威胁，我们建议您进行服务器备份，然后擦除应用程序服务器，并在您发现任何可疑行为之前从一个‘安全’备份点重建，”该公司指出。

1 月份，一位匿名研究人员通过趋势科技的零日计划 (ZDI) 向供应商报告了该漏洞。没有关于利用 CVE-2023-27350 的攻击的可用信息目前尚不清楚该漏洞是否在某个时候以零日状态被利用。 

除了 CVE-2023-27350，PaperCut 还修补了 CVE-2023-27351，这是 PaperCut MF 或 NG 15.0 及更高版本中的一个高严重性缺陷，它可能允许攻击者访问用户信息，例如用户名、姓名、电子邮件、办公室信息和卡号。

PaperCut 解释道：“攻击者还可以仅为 PaperCut 创建的内部用户检索哈希密码。这可以远程完成，无需登录。”

该错误存在于 SecurityRequestFilter 类中，是未正确实施的身份验证算法的结果。同样通过 ZDI 报告的此漏洞似乎并未在恶意攻击中被利用。

标准下载：2023年24个即将实施标准下载

标准下载：大数据 系统运维和管理功能要求GB/T 38633-2020

标准下载：个人信息去标识化效果评估指南GB/T 42460-2023

标准下载：2020版金融行业网络安全等级保护实施指引（第1-6部分）

标准下载：网络安全从业人员能力基本要求GB/T 42446-2023

标准下载：工业控制系统信息安全防护能力成熟度模型GB/T 41400-2022

标准下载：交通运输行业网络安全等级保护基本要求 JT/T 1417-2022

网络安全等级保护：从第三级防雷击测评项引发的一点点思考

思维导图下载：GB-T 39276-2020 网络产品和服务安全通用要求

网络安全等级保护：第三级与第四级安全物理环境差异化要求

网络安全等级保护：第三级与第四级安全管理制度要求异同点

网络安全等级保护：移动互联安全扩展测评PPT

300多页网络安全知识小册子2023版下载

网络安全等级保护：网络安全等级保护安全设计技术要求PPT

全国网络安全等级测评与检测评估机构目录

分析显示：98% 的公司的供应链关系已被破

2023年五个关键网络安全趋势

15个网络安全等级保护和等级测评PPT课件打包下载

思维导图：互联网上网服务营业场所管理条例（2022版）

网络物理系统安全之CPS的特点

2023年2月份-恶意软件月刊

2023年3月份-恶意软件月刊

原文始发于微信公众号（河南等级保护测评）：PaperCut 警告打印管理解决方案中存在被利用的漏洞