PaperCut NG: unzureichende Authentifizierung (CVE-2023-27351)

Was ist betroffen, was ist zu tun

Diese Schwachstelle in PaperCut MF/NG ermöglicht einem nicht authentifizierten Angreifer aus dem Netzwerk, die Authentifizierung zu umgehen und auf sensible Informationen zuzugreifen sowie begrenzte Schreiboperationen durchzuführen. Die Ursache liegt in einer fehlerhaften Authentifizierungsimplementierung (CWE-287), die ohne jegliche Vorbedingungen ausgenutzt werden kann. Die Schwachstelle wird aktiv in freier Wildbahn ausgenutzt und ist mit bekannten Ransomware-Kampagnen verknüpft, was zur Aufnahme in den CISA-KEV-Katalog geführt hat. Betroffene Organisationen, die PaperCut MF oder NG einsetzen, müssen umgehend handeln – ein Patch ist verfügbar und sollte ohne Verzögerung eingespielt werden.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie papercut_mf auf Version 20.1.7, papercut_ng auf Version 21.2.11. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• PaperCut NG eq 22.0.5 (Build 63914)..22.0.5 (Build 63914)

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: PaperCut NG/MF auf eine bereinigte Version aktualisieren. Betroffen sind die Zweige 15.0–20.1.7, 21.0.0–21.2.11 und 22.0.0–22.0.9. Laut Hersteller sind die korrigierten Builds 20.1.7, 21.2.11 bzw. 22.0.9 oder neuer; ältere Zweige wie 15.x–19.x erhalten keine Korrektur und erfordern ein Upgrade. Die exakte Fix-Version bitte im PaperCut-Vendor-Advisory nachschlagen. Der Patch muss auf dem Application Server, nicht nur auf den Site Servern, eingespielt werden.
   • Exposition sofort beenden: Den Zugriff auf die Weboberfläche des Application Servers (Standard TCP 9191/HTTP, 9192/HTTPS) aus dem Internet und aus Nicht-Admin-Netzen per Firewall sperren. Den Zugriff nur aus dem Admin-Jump-Host-Segment erlauben.
   • Kompromittierung prüfen, bevor gepatcht wird: server.log und das Application-Log sichern (Forensik-Kopie). Danach auf neue Admin-Logins, Änderungen an Druck- oder Gerätescripting sowie geänderte User-Sync-Einstellungen prüfen. Bei einem Treffer den Host als kompromittiert behandeln und den IR-Prozess (NIS2-Meldepflicht prüfen) einleiten.
   • Zugangsdaten rotieren: Das PaperCut-Admin-Kennwort, die Passwörter interner PaperCut-Benutzer (deren Hashes können ausgelesen werden) sowie das Bind-Konto für LDAP/AD-Sync ändern. Kartennummern bzw. PINs der Benutzer als offengelegt betrachten und neu ausgeben.
   • Inventarisierung: Alle PaperCut-Instanzen erfassen, auch vergessene Test- oder Filialserver. Externe Sichtbarkeit von Port 9191/9192 über einen ASM-Scan oder Shodan-Abgleich der eigenen IP-Bereiche prüfen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Den Application Server in ein dediziertes Druck-Management-VLAN legen. Eingehend nur Druckclient-, Release-Station- und MFP-Verbindungen zulassen. Ausgehend nur die benötigten Ziele erlauben (Verzeichnisdienst, SMTP, Lizenzserver) und jeglichen sonstigen Egress blockieren. Das unterbindet Payload-Nachladen und C2.
   • IP-Allowlisting in PaperCut: Unter Options → Advanced → Security die Liste „Allowed IP addresses“ für den Admin-Zugriff, Web-Services und Geräte auf bekannte Subnetze beschränken. Dieser Härtungsschritt wird vom Hersteller empfohlen.
   • WAF/IPS: Unauthentifizierte Anfragen auf /app?service=page/SetupCompleted sowie auf Admin-API-Pfade von externen Quellen blockieren oder alarmieren. Für Suricata/Snort die ET-Signaturen zu PaperCut-Auth-Bypass (Kategorie „ET EXPLOIT PaperCut“) aktivieren und deren Regelaktualität prüfen.
   • Endpoint-Härtung: Per EDR- oder ASR-Regel verhindern, dass der PaperCut-Dienstprozess (pc-app.exe bzw. der Java-Prozess unter /papercut/) Shells startet (cmd.exe, powershell.exe, /bin/sh). Den Dienst mit einem Least-Privilege-Konto statt SYSTEM/root betreiben, sofern es die Installation zulässt.
   • Konfiguration: Druck- und Gerätescripting deaktiviert lassen bzw. Sandbox erzwingen (print.script.sandboxed=Y, device.script.sandboxed=Y). Interne PaperCut-Konten auf ein Minimum reduzieren und bevorzugt verzeichnisbasierte Authentifizierung mit MFA am Admin-Zugang nutzen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver- bzw. Proxy-Logs: Requests auf SetupCompleted von nicht administrativen Quellen. Beispiel-SPL: index=proxy uri_path="/app" uri_query="*SetupCompleted*" dest_port IN (9191,9192).
   • PaperCut-Applikationslog (server.log, Audit-Log): Einträge wie „Admin user … modified the config key print.script.sandboxed“ oder „device.script.sandboxed“, unerwartete „User/Group sync settings changed“ sowie Admin-Logins von unbekannten IPs. Diese Einträge per Syslog-Forwarder in das SIEM übernehmen.
   • EDR/Sysmon EID 1 – Prozessabstammung: Parent pc-app.exe oder java.exe mit PaperCut-Pfad → Child cmd.exe, powershell.exe, rundll32.exe, certutil.exe oder bitsadmin.exe. Sigma-Form: ParentImage|endswith: '\pc-app.exe' AND Image|endswith: ['\cmd.exe','\powershell.exe'].
   • Netzwerktelemetrie (Zeek/Suricata): Ausgehende Verbindungen des Application Servers zu Internet-IPs, die nicht auf der Allowlist stehen, besonders Downloads von .exe, .ps1 oder .dll sowie Remote-Management-Tools (z. B. AnyDesk, Atera). Zusätzlich auf ungewöhnlich große HTTP-Antworten der Admin-API achten (Massenabfluss von Benutzerdaten).
   • Windows Security/Sysmon: EID 4720/4732 (neue lokale Konten bzw. Gruppenaufnahme) sowie Sysmon EID 11 (neue Dateien in \PaperCut MF\server\ oder in Temp-Verzeichnissen), jeweils zeitlich korreliert mit PaperCut-Admin-Aktivität.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Diese Schwachstelle ermöglicht es Fernangreifern, die Authentifizierung in betroffenen Installationen von PaperCut NG 22.0.5 (Build 63914) zu umgehen. Für die Ausnutzung dieser Schwachstelle ist keine Authentifizierung erforderlich. Der spezifische Fehler liegt innerhalb der Klasse SecurityRequestFilter. Das Problem resultiert aus einer fehlerhaften Implementierung des Authentifizierungsalgorithmus. Ein Angreifer kann diese Schwachstelle nutzen, um die Authentifizierung im System zu umgehen. Zugeordnet zu ZDI-CAN-19226.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: cvelistv5, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• PaperCut PaperCut NG
• PaperCut PaperCut MF
• PaperCut PaperCut NG

Weakness-Klassen (CWE)

• CWE-287Improper Authentication

  Class

  When an actor claims to have a given identity, the product does not prove or insufficiently proves that the claim is correct.

  Eintrag bei MITRE CWE-287

Quellen & Referenzen

• papercut.comkb/Main/PO-1216-and-PO-1219
• zerodayinitiative.comadvisories/ZDI-23-232
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351government-resource

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 01.10.2026Eintrag geänderttrendmicro.com

   Neue Referenzen:

   • https://www.papercut.com/kb/Main/PO-1216-and-PO-1219
   • https://www.zerodayinitiative.com/advisories/ZDI-23-232/
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219
   Referenz	ergänzt	—	https://www.zerodayinitiative.com/advisories/ZDI-23-232/
   Referenz	entfernt	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219	—
   Referenz	entfernt	https://www.zerodayinitiative.com/advisories/ZDI-23-232/	—
   Referenztyp	entfernt	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219 Types: Vendor Advisory	—
   Referenztyp	entfernt	https://www.zerodayinitiative.com/advisories/ZDI-23-232/ Types: Third Party Advisory, VDB Entry	—

   Kennung der Quelle: zdi-disclosures@trendmicro.com

2. 01.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351 Types: US Government Resource	—
   SSVC-Einschätzung	entfernt	{"id":"CVE-2023-27351","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-04-20T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2023-27351","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-04-21T03:55:38.095423Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 01.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • https://www.papercut.com/kb/Main/PO-1216-and-PO-1219
   • https://www.zerodayinitiative.com/advisories/ZDI-23-232/
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219
   Referenz	ergänzt	—	https://www.zerodayinitiative.com/advisories/ZDI-23-232/
   Referenz	entfernt	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219	—
   Referenz	entfernt	https://www.zerodayinitiative.com/advisories/ZDI-23-232/	—
   Referenztyp	entfernt	https://www.papercut.com/kb/Main/PO-1216-and-PO-1219 Types: Vendor Advisory	—
   Referenztyp	entfernt	https://www.zerodayinitiative.com/advisories/ZDI-23-232/ Types: Third Party Advisory, VDB Entry	—

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108

Verknüpfte Advisories

• Tod durch Tausend Papierkürzungen (PaperCut Pre-Auth RCE-Kette und Patch-Artefakte WT-2026-0141-0144/CVE-2026-82077/CVE-2026-82078/CVE-2026-81578)watchTowr Labs09.10.2026
• Ten CVEs Added to CISA KEV, Four with a Three-day Mitigation WindowSANS NewsBites21.04.2026