CVE-2023-27351
PaperCut NG/MF Improper Authentication Vulnerability
Beschreibung
CVE-2023-27351 ist eine CRITICAL-Schwachstelle zur Umgehung der Authentifizierung in PaperCut NG und PaperCut MF, einer weit verbreiteten Druckverwaltungssoftware, die in Unternehmens-, Bildungs-, Gesundheits- und Regierungsumgebungen eingesetzt wird. Der Fehler befindet sich in der SecurityRequestFilter-Klasse innerhalb des PaperCut-Anwendungsservers, der für die Durchsetzung von Authentifizierung und Autorisierung bei eingehenden HTTP-Anfragen zuständig ist. Entfernte, nicht-authentifizierte Angreifer können diesen Filter umgehen, um auf geschützte Funktionalitäten – einschließlich administrativer APIs und Anwendungsverwaltungsfunktionen – zuzugreifen, ohne gültige Zugangsdaten vorzuweisen. PaperCut-Installationen sind tief in organisatorische Netzwerke eingebettet und verfügen oft über breiten Zugriff auf Druckwarteschlangen, Benutzerdaten und Netzwerkfreigaben, was eine nicht-authentifizierte Umgehung der Sicherheitsschicht zu einem kritischen Kompromittierungsvektor macht. CVE-2023-27351 wurde im April 2023 öffentlich offengelegt und aktiv ausgenutzt und war bekanntermaßen in Ransomware-Kampagnen von Bedrohungsakteuren wie Bl00dy und Clop Ransomware-Affiliates involviert. CISA hat CVE-2023-27351 am 20. April 2026 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einem Behebungsfälligkeitsdatum am 4. Mai 2026 – eine Bekräftigung anhaltender Ausnutzungsaktivitäten Jahre nach der ersten Offenlegung. Der EPSS-Score ist mit 0,86104 außergewöhnlich hoch und platziert diese Schwachstelle im 99,4. Perzentil: unter den Top 1% aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit, was anhaltende, nahezu sichere reale Ausnutzung widerspiegelt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| papercut | papercut mf | >= 15.0, < 20.1.7; >= 21.0.0, < 21.2.11; >= 22.0.0, < 22.0.9 |
| papercut | papercut ng | >= 15.0, < 20.1.7; >= 21.0.0, < 21.2.11; >= 22.0.0, < 22.0.9 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Referenzen
- https://www.papercut.com/kb/Main/PO-1216-and-PO-1219(Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-23-232/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-27351(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CWE-287 beschreibt Situationen, in denen Software die Identität eines Benutzers, Dienstes oder Geräts, das versucht, auf eine Ressource zuzugreifen oder eine Aktion durchzuführen, nicht korrekt verifiziert. Improper Authentication kann sich als fehlende Authentifizierung bei sicherheitskritischen Funktionen, Authentifizierung, die durch Manipulation von Anfrageparametern oder -headern umgangen werden kann, oder Authentifizierungslogik manifestieren, die in den meisten Code-Pfaden korrekt angewendet wird, aber in bestimmten Umständen aufgrund von Filterreihenfolge, Bedingungslogikfehlern oder Routenabgleich-Fehlern übersprungen wird. Der Impact von CWE-287 ist typischerweise schwerwiegend, da Authentifizierung der grundlegende Steuerungsmechanismus für alle nachgelagerten Autorisierungs- und Zugriffskontrollentscheidungen ist – die Umgehung macht alle nachgelagerten Sicherheitskontrollen irrelevant.
Bei CVE-2023-27351 ist die Authentifizierungsumgehung in der SecurityRequestFilter-Klasse von PaperCut verwurzelt, einem Servlet-Filter im Java-basierten PaperCut-Anwendungsserver, der für das Abfangen eingehender HTTP-Anfragen und die Durchsetzung von Authentifizierung zuständig ist, bevor der Zugriff auf geschützte Anwendungs-Endpunkte erlaubt wird. Die Umgehung ermöglicht es einem Angreifer, Anfragen an geschützte Endpunkte so zu senden, dass der SecurityRequestFilter fälschlicherweise zu dem Schluss kommt, die Anfrage sei bereits authentifiziert oder von der Authentifizierung ausgenommen, was unbefugten Zugriff auf administrative Funktionalitäten gewährt. Diese Klasse von Filter-Bypass-Schwachstellen ist in Java-Web-Anwendungen verbreitet, bei denen Sicherheitsfilter auf URL-Pattern-Matching operieren, und subtile Unterschiede zwischen filter-ausgewerteten Pfaden und tatsächlichen Servlet-Dispatch-Pfaden können ausgenutzt werden, um geschützte Ressourcen ohne den Sicherheitsfilter zu erreichen. Mehr erfahren: CWE-287 — Improper Authentication
Auswirkungsanalyse
CVE-2023-27351 ist eine CRITICAL-Schwachstelle. Obwohl ein offizieller CVSS-Vektor von NVD zum Zeitpunkt der ersten Offenlegung nicht allgemein standardisiert war, klassifizieren unabhängige Analysen und Hersteller-Anleitungen sie als kritisch basierend auf folgenden Faktoren.
CVSS 3.1 Kontextueller Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — Score: 9,8 (CRITICAL)
Attack Vector (Netzwerk): Die Management-Schnittstelle des PaperCut-Anwendungsservers ist eine netzwerkzugängliche Web-Anwendung, typischerweise auf TCP-Port 9191 (HTTP) oder 9192 (HTTPS) exponiert. In vielen Deployments ist sie aus dem Unternehmens-LAN ohne Einschränkung erreichbar.
Attack Complexity (Niedrig): Die Authentifizierungsumgehung erfordert keine spezielle Zeitplanung, Umgebungsbedingungen oder vorherige Informationssammlung. Ein Angreifer, der den PaperCut-Server erreichen kann, kann ihn mit einer einzelnen HTTP-Anfrage oder einer kurzen Sequenz von Anfragen ausnutzen.
Privileges Required (Keine): Es sind keine Kontoinformationen erforderlich. Die Umgehung umgeht die Authentifizierungsschicht vollständig, was die Schwachstelle für jeden netzwerkbenachbarten Angreifer oder jeden, der zum PaperCut-Server routen kann, ausnutzbar macht.
User Interaction (Keine): Die Ausnutzung erfolgt vollständig angreifer-gesteuert.
Confidentiality (Hoch): Nicht-authentifizierter Zugriff auf PaperCuts administrative Schnittstelle legt Benutzerkontodaten (einschließlich Benutzernamen, E-Mail-Adressen, Kostenstellen-Zuweisungen), Druckjob-Metadaten und möglicherweise für die Drucklieferung konfigurierte Netzwerkfreigaben-Zugangsdaten offen.
Integrity (Hoch): Admin-Zugriff ermöglicht Skript-Ausführung über PaperCuts eingebaute Scripting-Engine (Scripting ist eine dokumentierte PaperCut-Funktion für Druckjob-Verarbeitung), Kontomanipulation und Konfigurationsänderungen – all dies wirkt sich direkt auf die Integrität aus.
Availability (Hoch): Druckinfrastruktur-Unterbrechung und Systemkompromittierung mit Ransomware-Deployment wurden beide als dokumentierte Folgen der Ausnutzung dieser Schwachstelle dokumentiert.
Priorisierungsempfehlung: Der 99,4. Perzentil EPSS-Score, bestätigte Ransomware-Kampagnen-Ausnutzung, CISA KEV-Aufnahme mit anhaltender Fälligkeitsdurchsetzung im Jahr 2026 und die nicht-authentifizierte Remote-Natur der Umgehung machen CVE-2023-27351 zu einer absoluten Top-Priorität für die Behebung, unabhängig davon, wann die Organisation das letzte Mal einen Review durchgeführt hat.
Exploit-Reifegrad
Bestätigte Ransomware-Ausnutzung: CVE-2023-27351 wurde als aktiv ausgenutzt in Ransomware-Kampagnen bestätigt. Die Bl00dy Ransomware-Gruppe und Clop Ransomware-Affiliates wurden von CISA und mehreren Threat-Intelligence-Anbietern im Mai 2023 öffentlich dokumentiert als die Ausnutzung dieser Schwachstelle (und der Begleitschwachstelle CVE-2023-27350), um initialen Zugriff auf Opfernetzwerke zu erlangen, Payloads einschließlich Remote-Access-Trojaner und Ransomware zu deployen und Daten zu exfiltrieren. PaperCut-Server sind besonders wertvolle Initial-Access-Ziele, da sie oft Domain-verbundene Windows-Server mit breiter Netzwerkkonnektivität sind, was laterale Bewegungen nach der Kompromittierung unkompliziert macht.
EPSS-Kontext — 99,4. Perzentil: Ein EPSS-Score von 0,86104 (99,4. Perzentil) bedeutet, dass diese Schwachstelle mit einer Wahrscheinlichkeit von ca. 86% innerhalb von 30 Tagen ausgenutzt werden soll – einer der höchsten EPSS-Scores in der CVE-Datenbank. Dies spiegelt die Kombination aus: öffentlicher Exploit-Code-Verfügbarkeit, bestätigter Ransomware-Kampagnen-Nutzung, weit verbreiteter Deployment von PaperCut in Unternehmens- und Bildungsumgebungen und der niedrigen Barriere (keine Authentifizierung) zur Ausnutzung wider. Schwachstellen auf diesem EPSS-Niveau sind nahezu sichere Ausnutzungsversuche gegen jede exponierte Instanz.
Öffentlicher Exploit-Code: Mehrere öffentliche Proof-of-Concept Exploits für CVE-2023-27351 wurden im April–Mai 2023 von Sicherheitsforschern veröffentlicht. Metasploit-Module und eigenständige PoC-Skripte sind verfügbar, was die Ausnutzung für weniger erfahrene Angreifer zugänglich macht. Dies trägt direkt zum nahezu Höchstwert EPSS-Score bei.
Anhaltende Ausnutzung: Die CISA-Wiederaufnahme am 20. April 2026 – drei Jahre nach der ersten Offenlegung – bestätigt, dass ungepatchte PaperCut-Instanzen weiterhin angegriffen werden. Langanhaltende Ausnutzung bekannter CWE-287-Schwachstellen in Geschäftsanwendungen ist ein verbreitetes Muster, insbesondere im Bildungs- und Gesundheitssektor, wo Patch-Zyklen langsam sein können.
KEV-Aufnahme: Die initiale KEV-Aufnahme erfolgte im Jahr 2023. Die Wiederaufnahme am 20. April 2026 mit einem Fälligkeitsdatum am 4. Mai 2026 zeigt, dass CISA aktiv anhaltende Ausnutzung beobachtet und die Re-Verifizierung der Behebung bei Bundesbehörden vorschreibt.
Behebung
-
Die CISA KEV-Direktive einhalten. CISA schreibt die Behebung von CVE-2023-27351 bis zum 4. Mai 2026 vor. Bundesbehörden müssen diese Frist einhalten. Alle anderen Organisationen müssen überprüfen, ob sie gepatcht haben, und sollten jede ungepatchte PaperCut-Instanz als aktives Kompromittierungsrisiko behandeln, das sofortige Incident-Response erfordert.
-
PaperCut NG und MF auf gepatchte Versionen upgraden. Die Schwachstelle ist in PaperCut MF und NG Versionen 20.1.7, 21.2.11, 22.0.9 und später behoben. Die installierte Version über die PaperCut Admin-Web-Schnittstelle unter Hilfe > Versionsinformationen überprüfen und gemäß der offiziellen Upgrade-Dokumentation von PaperCut unter papercut.com/support auf das neueste verfügbare Release upgraden.
-
Den Zugriff auf den PaperCut-Anwendungsserver sofort einschränken. Als kritische vorübergehende Maßnahme, falls Patching nicht innerhalb von Stunden durchgeführt werden kann: externen Zugriff auf PaperCuts HTTP/HTTPS-Management-Ports (9191/9192) am Netzwerkperimeter und internen Firewall blockieren. Sicherstellen, dass PaperCut nur vom lokalen Host des Druckservers oder von dedizierten Administrator-Workstations zugänglich ist. PaperCuts eigene Anleitungen empfehlen die Einschränkung des Zugriffs auf die Admin-Schnittstelle als primäre Vorab-Patch-Maßnahme.
-
Auf Kompromittierungsindikatoren prüfen. Angesichts des 99,4. Perzentil EPSS-Scores und bestätigter Ransomware-Kampagnen davon ausgehen, dass auf ungepatchten Systemen bereits eine Kompromittierung stattgefunden haben kann. PaperCut-Anwendungslogs auf ungewöhnliche API-Aufrufe, administrative Aktionen ohne authentifizierte Benutzersitzung, Skript-Ausführungsereignisse und neue Benutzerkonto-Erstellung überprüfen. Auf unerwartete Dateien prüfen, die in das Dateisystem des PaperCut-Servers geschrieben wurden, und auf Indikatoren für laterale Bewegungen achten.
-
Nach bekannten Bedrohungsakteur-Indikatoren suchen. Die Bl00dy und Clop Ransomware-Gruppen sind dafür bekannt, CVE-2023-27351 ausgenutzt zu haben. Threat-Intelligence-Quellen dokumentieren zugehörige IOCs (IP-Adressen, Datei-Hashes, C2-Domains) – diese gegen SIEM-, EDR- und Netzwerkfluss-Daten für den PaperCut-Server und seine Netzwerk-Nachbarn korrelieren.
-
PaperCut nach dem Patching härten. Den PaperCut-Sicherheitshärtungsleitfaden anwenden: eingebautes Scripting deaktivieren, wenn es nicht genutzt wird (dies wurde als Code-Ausführungsvektor bei Angriffen verwendet), HTTPS-Only-Administration erzwingen, Audit-Logging für alle administrativen Aktionen aktivieren und PaperCut unter einem minimal-privilegierten Service-Account ausführen. Den PaperCut-Server von Benutzer-Workstations und Domain-Controllern segmentieren, um den Impact lateraler Bewegungen zu begrenzen.
Technische Details
CVE-2023-27351 ist eine Authentifizierungsumgehungs-Schwachstelle in PaperCut NG und PaperCut MF, Java-basierten Druckverwaltungs-Server-Anwendungen.
Architektur-Kontext: PaperCuts Anwendungsserver basiert auf einem Java-Servlet-Framework (historisch Jetty). Die Web-Anwendung verwendet eine Servlet-Filter-Kette zur Verarbeitung eingehender HTTP-Anfragen, wobei der SecurityRequestFilter als primärer Authentifizierungsdurchsetzungspunkt dient. Der Filter ist registriert, um Anfragen an geschützte URL-Muster abzufangen und zu verifizieren, dass der Aufrufer eine gültige Session oder ein Authentifizierungstoken vorlegt, bevor die Anfrage an den Servlet- oder REST-Handler weitergeleitet wird.
Root Cause — SecurityRequestFilter Bypass: Die Schwachstelle entsteht durch einen Fehler in der Art und Weise, wie die SecurityRequestFilter-Klasse bewertet, ob eine gegebene Anfrage eine Authentifizierung erfordert. Java-Servlet-Filter operieren auf URL-Mustern, die im Deployment-Descriptor (web.xml) der Web-Anwendung oder über Annotationen angegeben werden. Eine bekannte Klasse von Umgehungen existiert, wenn die URL-Matching-Logik des Filters von der URL-Auflösung abweicht, die vom zugrunde liegenden Servlet-Container zur Weiterleitung von Anfragen an Servlets verwendet wird. Durch das Erstellen einer URL, die den Handling-Pfad eines geschützten Servlets übereinstimmt, aber nicht mit dem Schutz-Muster des Filters übereinstimmt – oder durch Ausnutzung der Filterverarbeitung von Pfad-Parametern, kodierten Schrägstrichen oder spezifischen Anfrage-Metadaten – kann ein Angreifer den geschützten Servlet erreichen, ohne dass der SecurityRequestFilter Authentifizierungsprüfungen anwendet.
Ausnutzungspfad: Ein entfernter Angreifer sendet eine nicht-authentifizierte HTTP-Anfrage an die PaperCut Admin-Schnittstelle mit einer präparierten URL, die den SecurityRequestFilter umgeht. Nach dem Erreichen eines ungeschützten administrativen Endpunkts kann der Angreifer Anwendungs-APIs aufrufen: Benutzerdaten lesen, Konfiguration ändern oder – am kritischsten – PaperCuts eingebaute Druck-Scripting-Engine aufrufen. PaperCut unterstützt server-seitige JavaScript-Skripte für die Druckjob-Verarbeitung. Diese Skripte können Betriebssystem-Befehle über Javas Runtime.exec() oder ProcessBuilder ausführen, was dem Angreifer beliebige Befehlsausführung auf dem PaperCut-Server mit dem Privilegienlevel des PaperCut-Service-Accounts (oft SYSTEM unter Windows) gibt.
Betroffene Versionen: PaperCut MF und NG Versionen vor 20.1.7, 21.2.11 und 22.0.9 auf allen unterstützten Plattformen (Windows, Linux, macOS). Die Schwachstelle wurde im April 2023 zusammen mit CVE-2023-27350 (eine verwandte, aber eigenständige kritische Schwachstelle) offengelegt. Beide werden häufig zusammen in Threat-Intelligence-Berichten diskutiert.
Hersteller-Advisory: PaperCut Security Advisory unter papercut.com/security/advisory/PO-1216-8140. CISA ICS Advisory und mehrere Hersteller-Threat-Intelligence-Berichte decken diese Schwachstelle im Detail ab.
Häufig gestellte Fragen
Wird CVE-2023-27351 im Jahr 2026 noch aktiv ausgenutzt?
Ja. Obwohl im April 2023 offengelegt, hat CISA CVE-2023-27351 im April 2026 erneut in den KEV-Katalog aufgenommen mit einer neuen Behebungsfrist, was bestätigt, dass die Ausnutzung gegen ungepatchte PaperCut-Installationen anhält. Der 99,4. Perzentil EPSS-Score bestätigt, dass die Schwachstelle eines der Ausnutzungsziele mit der höchsten Wahrscheinlichkeit in der CVE-Datenbank bleibt. Organisationen, die noch nicht gepatcht haben, sind einem hohen Kompromittierungsrisiko ausgesetzt.
Welche Produkte sind betroffen?
PaperCut MF und PaperCut NG vor Versionen 20.1.7, 21.2.11 und 22.0.9 sind auf allen unterstützten Plattformen (Windows, macOS, Linux) betroffen. Die Schwachstelle befindet sich im zentralen Anwendungsserver; alle Deployment-Konfigurationen sind betroffen, sofern der Patch nicht angewendet wurde.
Wurde dies in Ransomware-Angriffen genutzt?
Ja. Die Bl00dy Ransomware-Gruppe und Clop Ransomware-Affiliates wurden 2023 als Ausnutzer von CVE-2023-27351 dokumentiert. Die Authentifizierungsumgehung ermöglicht nicht-authentifizierten Remote-Zugriff auf PaperCuts administrative Schnittstelle, den Angreifer nutzen, um Betriebssystem-Befehle über PaperCuts Scripting-Engine auszuführen, was ihnen einen Brückenkopf auf Domain-verbundenen Servern bietet, der ideal für das Ransomware-Deployment ist.
Wie behebt man die Schwachstelle?
PaperCut MF oder NG auf Version 20.1.7, 21.2.11, 22.0.9 oder später upgraden. Als sofortigen vorübergehenden Schritt den gesamten externen Zugriff auf PaperCuts Management-Ports (9191/9192) blockieren und den Zugriff auf ausschließlich Administrator-Workstations einschränken. Auf jedem System, das möglicherweise ungepacht exponiert war, eine vollständige Kompromittierungsbewertung einschließlich Log-Review und Dateisystem-Inspektion durchführen, bevor es wieder in den Produktionsbetrieb genommen wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.