Jetzt patchen! Angreifer attackieren PaperCut NG/MF

Was geschehen ist – die Kernmeldung

Der Hersteller der weit verbreiteten Druckerverwaltungssoftware PaperCut NG/MF hat eine dringende Sicherheitswarnung herausgegeben. Aktuellen Berichten zufolge haben es Angreifer derzeit gezielt auf eine Sicherheitslücke in der Anwendung abgesehen. Die Situation wird von den Entwicklern als so kritisch eingestuft, dass sie ein Notfall-Sicherheitsupdate veröffentlicht haben, das von allen Administratoren unverzüglich installiert werden sollte. Die Software, die in zahlreichen Unternehmen zur zentralen Steuerung und Verwaltung von Druckaufträgen eingesetzt wird, ist damit erneut in den Fokus von Cyberkriminellen gerückt. Bislang halten sich die Informationen über die spezifische Art der Schwachstelle noch stark in Grenzen. Dennoch ist die Dringlichkeit der Warnung ein deutliches Signal für eine akute Bedrohungslage. Betroffen sind Installationen auf verschiedenen Betriebssystemplattformen, weshalb ein sofortiges Handeln in den IT-Abteilungen der betroffenen Unternehmen unumgänglich ist, um eine mögliche Kompromittierung der Systeme zu verhindern oder zumindest einzudämmen.

Die Einzelheiten der Sicherheitslage

Die Entwickler von PaperCut NG/MF haben in ihrer offiziellen Warnmeldung präzise Anweisungen für die betroffenen Versionen gegeben. Die Sicherheitsupdates stehen für die Ausgaben v25 und v26 bereit und decken die Betriebssysteme Linux, macOS und Windows ab. Für die Version v24 wurde ein entsprechender Patch bereits angekündigt, der in Kürze folgen soll. Neben der reinen Installation der Software-Aktualisierungen geben die Hersteller den Administratoren eine wichtige Empfehlung für den Betrieb mit auf den Weg: Sollten die Instanzen der Druckerverwaltung über das öffentliche Internet erreichbar sein, ist der Zugriff zwingend über Firewallregeln auf vertrauenswürdige Geräte zu beschränken. Dies soll die Angriffsfläche minimieren. Bisher gibt es weder eine offizielle CVE-Nummer für die Schwachstelle, noch eine endgültige Einstufung des Bedrohungsgrades durch Sicherheitsbehörden oder den Hersteller selbst. Dennoch lässt die proaktive Kommunikation des Herstellers darauf schließen, dass das Potenzial für Schäden durch erfolgreiche Angriffe als sehr hoch einzustufen ist.

Hintergrund und bisheriger Verlauf

Die Software PaperCut NG/MF ist ein zentrales Werkzeug für die Druckerverwaltung in vielen Firmenumgebungen. Aufgrund ihrer weiten Verbreitung und der notwendigen Berechtigungen im Netzwerk gerät die Anwendung immer wieder in das Visier von Angreifern, die nach Schwachstellen suchen, um in Unternehmensnetzwerke einzudringen. Bereits im April dieses Jahres gab es einen Vorfall, bei dem Angreifer durch das erfolgreiche Ausnutzen einer Sicherheitslücke die Authentifizierung umgehen konnten. Diese Historie verdeutlicht, dass die Software ein attraktives Ziel für Akteure darstellt, die versuchen, sich unbefugten Zugriff auf IT-Infrastrukturen zu verschaffen. Die aktuelle Warnung reiht sich somit in eine Serie von Sicherheitsereignissen ein, welche die Notwendigkeit einer kontinuierlichen Überwachung und zeitnahen Patch-Strategie unterstreichen. Die Entwickler reagieren auf die aktuelle Bedrohungslage mit einer schnellen Bereitstellung von Korrekturen, um den Missbrauch der Software zu unterbinden, bevor dieser in größerem Stil zu einem ernsten Sicherheitsproblem für die Anwenderunternehmen werden kann.

Die Beteiligten und betroffene Systeme

In erster Linie sind die Administratoren von Unternehmen betroffen, die PaperCut NG/MF einsetzen, um ihre Druckinfrastruktur zu verwalten. Sie stehen nun in der Verantwortung, die von den Entwicklern bereitgestellten Sicherheitsupdates zeitnah zu evaluieren und auf ihren Systemen auszurollen. Die Entwickler selbst fungieren als Informationsquelle und Bereitsteller der notwendigen Software-Korrekturen. Sie kommunizieren direkt über Warnmeldungen mit den IT-Verantwortlichen. Da die Software auf den gängigen Betriebssystemen Linux, macOS und Windows läuft, ist eine breite Palette an IT-Umgebungen potenziell gefährdet. Die Kommunikation des Herstellers richtet sich explizit an die IT-Abteilungen, die nun prüfen müssen, ob ihre Instanzen öffentlich erreichbar sind und ob bereits Anzeichen für eine Kompromittierung vorliegen. Es handelt sich um eine klassische Situation, in der eine enge Abstimmung zwischen Softwarehersteller und den IT-Sicherheitsverantwortlichen in den Unternehmen notwendig ist, um die Integrität der Systeme zu wahren.

Einordnung der Bedrohungslage

Einzuordnen ist die aktuelle Meldung als ein Warnsignal für eine ernsthafte, wenn auch in ihren Details noch unklare Bedrohung. Den Berichten zufolge ist die Gefahr, die von der ausgenutzten Schwachstelle ausgeht, als sehr hoch einzustufen, da der Hersteller selbst zu einem unverzüglichen Handeln aufruft. Dass noch keine CVE-Nummer existiert, deutet auf eine sehr kurzfristige Entdeckung der Angriffe hin, bei der die Reaktion der Entwickler Vorrang vor administrativen Klassifizierungsprozessen hatte. Die Tatsache, dass bereits erste Hinweise auf eine Kompromittierung (Indicators of Compromise, kurz IoC) veröffentlicht wurden, zeigt, dass der Hersteller bereits konkrete Anhaltspunkte für die Vorgehensweise der Angreifer gesammelt hat. Es ist davon auszugehen, dass die Bedrohungslage dynamisch bleibt und die Entwickler ihre Warnmeldungen kontinuierlich anpassen werden, sobald neue Erkenntnisse über die Angriffsvektoren vorliegen. Unternehmen sollten daher die offiziellen Kanäle des Herstellers in den kommenden Tagen genau im Auge behalten, um keine wichtigen Sicherheitsupdates oder zusätzlichen Schutzmaßnahmen zu verpassen.

Offene Fragen und Lücken im Wissensstand

Obwohl die Warnmeldung des Herstellers bereits erste wichtige Schritte zur Absicherung vorgibt, bleiben zahlreiche Fragen zum aktuellen Zeitpunkt unbeantwortet. Es ist derzeit völlig unklar, um welche spezifische Sicherheitslücke es sich bei der angegriffenen Schwachstelle handelt. Ebenso gibt es keine Informationen darüber, was Angreifer konkret nach einer erfolgreichen Attacke auf einem System anstellen können – ob sie beispielsweise Daten stehlen, Schadsoftware nachladen oder sich dauerhaft im Netzwerk einnisten können. Auch der Umfang der bereits erfolgten Angriffe ist derzeit nicht bekannt. Es lässt sich nicht abschätzen, wie viele Systeme weltweit bereits kompromittiert wurden oder ob es sich um eine gezielte Kampagne gegen bestimmte Zielgruppen handelt. Zudem ist noch offen, wann genau der Patch für die Version v24 erscheinen wird, was Administratoren dieser speziellen Version in eine schwierige Warteposition bringt. Die Lücken im Informationsstand sind also signifikant, was die Vorsicht der IT-Verantwortlichen zusätzlich rechtfertigt.

Wie es weitergeht

Für die kommenden Tage ist zu erwarten, dass die Entwickler weitere Informationen und gegebenenfalls zusätzliche Indicators of Compromise (IoC) veröffentlichen werden, um Administratoren bei der Identifizierung kompromittierter Systeme zu unterstützen. Die Administratoren sind dazu angehalten, ihre Systeme nach verdächtigen Aktivitäten zu durchsuchen, insbesondere in Bezug auf den PaperCut-Application-Server und die Datei pc-app.exe. Auch gelöschte Protokolldateien oder spezifische Fehlermeldungen in den Datenbank-Logs, wie etwa Hinweise auf Fehler bei der Suche nach einer cardID, sollten als Warnsignale ernst genommen werden. Der wichtigste nächste Schritt ist die zeitnahe Bereitstellung des Patches für die Version v24, um auch diese Nutzergruppe abzusichern. Bis dahin bleibt die Empfehlung bestehen, den Zugriff auf die Druckerverwaltung strikt auf vertrauenswürdige Netzwerke zu beschränken. Die Situation erfordert eine fortlaufende Überwachung der Hersteller-Webseite, da die Warnmeldung ausdrücklich mit weiteren Hinweisen aktualisiert werden soll, sobald diese vorliegen.