CVE-2023-27351: bypass di autenticazione in PaperCut NG, sfruttata attivamente

CVE-2023-27351: bypass di autenticazione in PaperCut NG, sfruttata attivamente

In breve

PaperCut NG 22.0.5 (Build 63914) contiene una grave falla che consente a un aggressore remoto di accedere al sistema di gestione della stampa senza necessità di utente né password [1]. La vulnerabilità, identificata come CVE-2023-27351, ha un punteggio CVSS di 7,5 (severità alta secondo NVD) [1] ed è presente nel catalogo delle vulnerabilità sfruttate note (KEV) di CISA [2], il che conferma che è stata utilizzata in attacchi reali. Se la tua organizzazione utilizza PaperCut NG, l'azione prioritaria è applicare immediatamente l'aggiornamento del produttore.

---

Cos'è e perché è importante

PaperCut è una delle piattaforme di gestione della stampa più diffuse in ambienti aziendali, educativi e sanitari. CVE-2023-27351, pubblicata il 20 aprile 2023 [1], espone un errore di progettazione nella classe SecurityRequestFilter di PaperCut NG: la logica di autenticazione è implementata in modo errato, il che consente a un aggressore esterno di eluderla completamente senza presentare alcuna credenziale [1].

In termini di business, questo significa che chiunque abbia accesso di rete al server di PaperCut potrebbe interagire con il pannello di amministrazione della stampa come se fosse un amministratore legittimo. L'accesso senza credenziali ai sistemi di gestione della stampa può esporre documenti in coda, configurazioni di rete interne, dati degli utenti e, a seconda dell'ambiente, fungere da punto di ingresso verso sistemi aziendali più ampi.

Il nostro team di intelligence in OCIRIA classifica questa vulnerabilità come critica in termini di rischio operativo, una valutazione propria che riflette l'impatto potenziale in ambienti aziendali reali e che va oltre il punteggio numerico ufficiale di NVD (CVSS 7,5, severità alta) [1]. La distinzione è importante: il punteggio NVD misura caratteristiche tecniche della falla; la nostra valutazione considera anche il contesto di sfruttamento attivo confermato [2] e la diffusione del prodotto nelle infrastrutture critiche.

---

Chi è interessato

La descrizione ufficiale di NVD identifica come versione interessata PaperCut NG 22.0.5 (Build 63914) [1]. Se la tua organizzazione utilizza questa versione specifica del prodotto del produttore PaperCut, devi considerarti a rischio fino all'applicazione della patch corrispondente.

Profili particolarmente esposti:

• Aziende con flotte di stampanti gestite da un server PaperCut accessibile in rete.
• Centri educativi e università, dove PaperCut è di uso molto comune.
• Ambienti sanitari e pubblica amministrazione con infrastrutture di stampa centralizzate.
• Organizzazioni in cui il server PaperCut sia esposto, anche parzialmente, a reti non completamente isolate.

---

Come sapere se sei vulnerabile

Il primo passo è identificare se PaperCut NG è installato nella tua infrastruttura e quali siano la versione e la build esatte in produzione. Le informazioni sulla versione sono solitamente disponibili nello stesso pannello di amministrazione di PaperCut oppure consultando il team di sistemi responsabile della gestione della stampa.

Verifica specificamente se la versione installata è la 22.0.5, Build 63914 [1]. Inoltre, conviene rivedere:

• Se la porta di amministrazione di PaperCut è accessibile da reti diverse da quella di gestione interna.
• Se esistono accessi o connessioni anomale recenti nei log del server di stampa.
• Se il server PaperCut è esposto, direttamente o indirettamente, a Internet.

Rivedere la superficie esposta della tua infrastruttura è fondamentale per comprendere la reale portata del rischio nel tuo caso specifico.

---

Come proteggersi

1. Aggiorna PaperCut NG immediatamente. Applica la versione corretta che il produttore PaperCut ha reso disponibile. Consulta il canale ufficiale degli aggiornamenti di PaperCut e segui le sue istruzioni di installazione.

2. Limita l'accesso al pannello di amministrazione. Limita l'esposizione del server PaperCut alle reti e agli utenti strettamente necessari mediante regole del firewall o segmentazione di rete.

3. Rivedi i log di accesso. Poiché la vulnerabilità è presente nel catalogo KEV di CISA [2], lo sfruttamento in ambienti reali è confermato. Analizza gli accessi recenti al server di stampa alla ricerca di attività non autorizzate.

4. Configura avvisi di monitoraggio. Imposta avvisi in caso di accessi insoliti o modifiche di configurazione non previste nel sistema PaperCut.

5. Informa i responsabili di business. Se il processo di aggiornamento richiede una finestra di manutenzione, informa la direzione del rischio esistente affinché venga presa una decisione informata sull'urgenza.

---

Domande frequenti

È necessario che l'aggressore abbia accesso alla rete interna?

Non necessariamente. Se il server PaperCut presenta un qualche tipo di esposizione esterna o l'aggressore si trova già nella rete aziendale, non sono richieste credenziali per sfruttare la falla [1].

Riguarda anche PaperCut MF?

La descrizione ufficiale di NVD fa riferimento esplicitamente a PaperCut NG 22.0.5 (Build 63914) [1]. Il nostro radar interno segnala che il contesto della falla potrebbe essere rilevante anche per ambienti MF, ma ti consigliamo di consultare direttamente gli avvisi di sicurezza ufficiali di PaperCut per confermare la portata esatta nella tua installazione.

Cosa significa la presenza nel catalogo KEV di CISA?

Il catalogo KEV (Known Exploited Vulnerabilities) di CISA raccoglie vulnerabilità per le quali esiste evidenza di sfruttamento attivo nel mondo reale [2]. La sua presenza in tale elenco non è teorica: indica che la vulnerabilità è stata utilizzata in attacchi documentati, il che aumenta l'urgenza di intervenire.

Basta applicare la patch?

Applicare l'aggiornamento chiude il vettore di attacco, ma è consigliabile effettuare anche una revisione degli accessi storici per escludere che la vulnerabilità sia stata sfruttata prima dell'applicazione della patch.

Fonti

• [1] NVD — Scheda ufficiale di CVE-2023-27351: nvd.nist.gov/vuln/detail/CVE-2023-27351
• [2] CISA — Catalogo delle vulnerabilità sfruttate note (KEV): cisa.gov/known-exploited-vulnerabilities-catalog