PaperCut corrige vulnerabilidade zero-day explorada em ataques

A PaperCut Software está a alertar os utilizadores das soluções de gestão de impressão PaperCut NG e MF para uma vulnerabilidade zero-day que está a ser explorada ativamente. A empresa lançou correções de emergência e recomenda a sua instalação imediata.

A vulnerabilidade ainda não recebeu um identificador CVE e a PaperCut não divulgou detalhes técnicos sobre a falha. A empresa confirmou, contudo, a existência de incidentes entre clientes e mantém uma investigação em curso.

Além da aplicação das atualizações, a PaperCut recomenda que o servidor da aplicação seja desligado da Internet e que o acesso fique limitado a endereços IP considerados de confiança.

A empresa publicou também alguns indicadores de compromisso (IoC) que podem ajudar as organizações a identificar possíveis ataques. Entre estes encontra-se um ficheiro suspeito denominado pc-app.exe, que poderá indicar a instalação de malware ou de outras ferramentas após a exploração da vulnerabilidade.

Ficheiros server.log inesperadamente truncados ou eliminados constituem outro possível sinal de intrusão. A alteração ou remoção dos registos poderá estar relacionada com tentativas dos atacantes para ocultar a sua atividade.

Ainda não é conhecida a identidade dos responsáveis pela exploração da vulnerabilidade nem as motivações dos ataques.

Esta não é a primeira vez que vulnerabilidades do PaperCut NG/MF são exploradas ativamente. O catálogo Known Exploited Vulnerabilities (KEV) da agência norte-americana CISA inclui três falhas anteriores nos produtos da empresa, duas das quais foram utilizadas em ataques de ransomware. A nova vulnerabilidade ainda não foi adicionada ao catálogo.

Dados da ShadowServer Foundation indicam que existem atualmente cerca de mil instâncias PaperCut expostas diretamente à Internet, estando a maioria localizada na América do Norte e na Europa.