KritischCVE-2023-27350

    PaperCut NG: unzureichende Zugriffskontrolle (CVE-2023-27350)

    Veröffentlicht In CISA KEV seit Quellen: CVE.org, SingCERT, pwn.watch

    Was ist betroffen, was ist zu tun

    Diese Schwachstelle ermöglicht es Fernangreifern, die Authentifizierung bei betroffenen Installationen von PaperCut NG 22.0.5 (Build 63914) zu umgehen. Für die Ausnutzung dieser Schwachstelle ist keine Authentifizierung erforderlich.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie papercut_mf auf Version 22.0.9, papercut_ng auf Version 21.2.11. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • PaperCut NG eq 22.0.5 (Build 63914)..22.0.5 (Build 63914)

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    9,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    9,8

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: CVE.org, SingCERT, pwn.watch

    —

    EPSS-Score

    Für diese Schwachstelle liegt kein Wert vor.

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    256.57 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: CSA/SingCERT So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,8
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-284

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Diese Schwachstelle steht auf der KEV-Liste, weil sie unauthentifizierte Codeausführung als SYSTEM über eine standardmässig im Netz erreichbare Web-Admin-UI erlaubt — die Angriffskette ist trivial, öffentlicher PoC- und Metasploit-Code existiert, und die Ausnutzungswahrscheinlichkeit zählt zu den höchsten im CVE-Bestand überhaupt. CISA markiert aktive Nutzung in Ransomware-Kampagnen (u. a. als Initial-Access-Vektor für Cl0p- und LockBit-nahe Operationen sowie TrueBot/Bl00dy). Priorität P1/Critical für jede Organisation, die PaperCut MF/NG betreibt — insbesondere Hochschulen, Kommunen, Gesundheitseinrichtungen und produzierende Unternehmen mit zentralisiertem Druckmanagement, die typische Zielprofile darstellen. Internet-exponierte Instanzen gelten bis zum Patchnachweis als wahrscheinlich kompromittiert.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • PaperCut MF/NG sofort auf eine gepatchte Version aktualisieren: 20.1.7, 21.2.11, 22.0.9 oder neuer. Patches sind auf portal.papercut.com unter dem jeweiligen Produkt verfügbar; Build-Nummer nach Update verifizieren (About-Dialog oder server.properties).
      • Falls Patching nicht binnen 24 h möglich: Admin-Weboberfläche (Standard-Ports TCP 9191 HTTP und TCP 9192 HTTPS) per Firewall-Regel auf dedizierte Admin-Jump-Hosts beschränken. User-Portal auf TCP 9163/9164 kann weiterlaufen, Admin-UI darf nicht öffentlich erreichbar sein.
      • Alle PaperCut-Server auf vorherige Kompromittierung untersuchen (CVE wurde ab April 2023 für Ransomware- und Cl0p-/LockBit-nahe Zugriffe genutzt): Prüfung auf unbekannte Admin-Konten, geänderte Druckskripte, neue „Print Scripting"-Einträge und auf ausgehende Verbindungen zu Cobalt-Strike-/TrueBot-Infrastruktur.
      • Lokale Dienstkonten des PaperCut Application Server (läuft als SYSTEM/root) sowie etwaige angebundene LDAP-/AD-Serviceaccounts rotieren, da Codeausführung im SYSTEM-Kontext möglich ist.
      • Internet-Exposure prüfen: externe Shodan-/Censys-Suche auf eigene ASN mit Fingerprint „PaperCut" bzw. Ports 9191/9192. Jede exponierte Instanz als potenziell kompromittiert behandeln bis zum Nachweis des Gegenteils.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzwerksegmentierung: PaperCut-Server in ein Printing-/Management-VLAN verschieben, ausgehende Verbindungen auf benötigte Ziele (Druckerspooler, SMTP-Relay, Lizenzserver papercut.com) per Egress-ACL begrenzen. Keine direkten Internet-Egress-Pfade zulassen.
      • WAF/Reverse-Proxy vor die Admin-UI setzen und Zugriffe auf die Pfade /app?service=page/SetupCompleted sowie andere SetupCompleted-Endpoints blockieren oder nur für authentifizierte Admin-Sessions zulassen.
      • Vendor-Mitigation anwenden: in Options > Advanced > Security > Allowed device IPs eine strikte Allowlist für Admin-Zugriffe konfigurieren; „Print Scripting" und „User/Group Sync via custom program" temporär deaktivieren, bis Patch eingespielt ist (verhindert die beobachtete RCE-Kette via Scripting-Interface).
      • EDR-Policy auf dem PaperCut-Host verschärfen: Child-Prozesse des pc-app.exe bzw. der Java-JVM auf cmd.exe, powershell.exe, wscript.exe, certutil.exe, bitsadmin.exe blockieren. Auf Linux entsprechend sh/bash als Child der PaperCut-JVM alerten.
      • IAM-Härtung: Admin-Anmeldung auf lokale, nicht-domänenprivilegierte Konten begrenzen; Service-Account des PaperCut-Dienstes auf das notwendige Minimum entrechten, soweit das Produkt dies erlaubt.
      • Backup der PaperCut-Datenbank und server.properties offsite ablegen, damit nach einem Vorfall ein sauberer Rebuild möglich ist.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Webzugriffe auf verdächtige Admin-Endpoints: Access-Log-Suche nach GET oder POST mit URI *SetupCompleted* ohne vorangehende authentifizierte Session. Beispiel Splunk: index=papercut uri_path="*SetupCompleted*" NOT referer="*login*".
      • Prozess-Ancestry (Sysmon EID 1 / EDR): Alert, wenn java.exe oder pc-app.exe als Parent cmd.exe, powershell.exe, rundll32.exe oder certutil.exe startet. Sigma-Skelett: parent_image|endswith: '\pc-app.exe' + image|endswith: '\powershell.exe'.
      • Dateisystem-Monitoring: neue Dateien in C:\Program Files\PaperCut MF\server\custom\ bzw. im scripts-Verzeichnis (Sysmon EID 11), insbesondere .js-Dateien mit java.lang.Runtime.getRuntime().exec.
      • Netzwerktelemetrie (Zeek/Suricata): ausgehende Beacons vom PaperCut-Host zu nicht-druckbezogenen Zielen, insbesondere HTTPS-Beacons mit konstanten Jitter-Mustern (Cobalt Strike) oder DNS-Abfragen zu bekannten TrueBot-Domains.
      • Windows Event ID 4720/4732: neue lokale Admin-Konten auf dem PaperCut-Host; Event ID 7045 für neue Dienste kurz nach Zugriffen auf /SetupCompleted.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Diese Schwachstelle ermöglicht es Fernangreifern, die Authentifizierung bei betroffenen Installationen von PaperCut NG 22.0.5 (Build 63914) zu umgehen. Für die Ausnutzung dieser Schwachstelle ist keine Authentifizierung erforderlich. Der spezifische Fehler liegt in der Klasse SetupCompleted vor. Das Problem resultiert aus unzureichender Zugriffskontrolle. Ein Angreifer kann diese Schwachstelle nutzen, um die Authentifizierung zu umgehen und beliebigen Code im Kontext von SYSTEM auszuführen. Zugehörig zu ZDI-CAN-18987.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: NVD (NIST), CISA KEV Catalog, CVE.org (MITRE), CSA/SingCERT, pwn.watch, cvelistv5

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    PaperCutNG
    • 22.0.5 (Build 63914)
    • —
    papercutpapercut_mf
    • 22.0.0 – < 22.0.9
    • 21.0.0 – < 21.2.11
    • 8.0 – < 20.1.7
    • 22.0.9
    • 21.2.11
    • 20.1.7
    papercutpapercut_ng
    • 21.0.0 – < 21.2.11
    • 22.0.0 – < 22.0.9
    • 8.0 – < 20.1.7
    • 21.2.11
    • 22.0.9
    • 20.1.7

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-284Improper Access Control

      Pillar

      The product does not restrict or incorrectly restricts access to a resource from an unauthorized actor.

      Eintrag bei MITRE CWE-284

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    CSA/SingCERTActive Exploitation of Critical Vulnerability in PaperCut MF (Multifunction) and NG (Next Generation) (öffnet in neuem Tab)CSA/SingCERTaktiv ausgenutzt
    Packet StormPaperCut MF NG Authentication Bypass Remote Code Execution (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormPaperCut NG MG 22.0.4 Authentication Bypass (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormPaperCut NG MG 22.0.4 Remote Code Execution (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormPaperCut PaperCutNG Authentication Bypass (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    PoC-in-GitHub (nomi-sec)CVE-2023-27350-CVE-2023-27351 (öffnet in neuem Tab)github.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert
    PoC-in-GitHub (nomi-sec)PaperCut-Authentication_Bypass_and_RCE (öffnet in neuem Tab)github.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert

    Quellen & Referenzen

    • zerodayinitiative.comadvisories/ZDI-23-233Hinweis Dritter, Schwachstellendatenbank
    • papercut.comURGENT | PaperCut MF/NG vulnerability bulletin (PO-1216 and PO-1219)Herstellerhinweis, pwn-watch
    • packetstormsecurity.comfiles/171982/PaperCut-MF-NG-Authentication-Bypass-Remote-Code-E…Hinweis Dritter, Schwachstellendatenbank
    • packetstormsecurity.comfiles/172022/PaperCut-NG-MG-22.0.4-Authentication-Bypass.htmlExploit, Hinweis Dritter, Schwachstellendatenbank
    • news.sophos.comen-us/2023/04/27/increased-exploitation-of-papercut-drawing-blo…Hinweis Dritter
    • packetstormsecurity.comfiles/172512/PaperCut-NG-MG-22.0.4-Remote-Code-Execution.htmlExploit, Hinweis Dritter, Schwachstellendatenbank
    • packetstormsecurity.comfiles/172780/PaperCut-PaperCutNG-Authentication-Bypass.htmlExploit, Hinweis Dritter, Schwachstellendatenbank
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27350government-resource, US-Behörde
    • pwn.watchpwn.watch: PaperCut MF/NG auth bypass to SYSTEM RCE, used by Cl0p and LockBit (CVE-2023-27350)pwn-watch
    • cisa.govMalicious Actors Exploit CVE-2023-27350 in PaperCut MF and NG (AA23-131A)pwn-watch
    • NVD (NIST)NVD: CVE-2023-27350pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2023-27350
    <a href="https://intel.neosec.eu/cve/CVE-2023-27350"><img src="https://intel.neosec.eu/badge/cve/CVE-2023-27350.svg" alt="CVE-2023-27350 – NEOSEC Intel" height="20"></a>