Cảnh báo khẩn: Lỗ hổng Zero-day trên PaperCut đang bị khai thác tích cực

Hãng phần mềm PaperCut mới đây đã xác nhận về việc một lỗ hổng bảo mật zero-day đang bị các đối tượng tấn công khai thác tích cực trên toàn bộ các phiên bản của giải pháp quản lý in ấn PaperCut NG và PaperCut MF. Hiện tại, công ty đã phát hành bản vá khẩn cấp cho các phiên bản v25 và v26 để khắc phục sự cố này.

Mặc dù chi tiết kỹ thuật về lỗ hổng cũng như danh tính của nhóm tấn công vẫn chưa được công bố, PaperCut cho biết họ đang ưu tiên xử lý vấn đề này ở mức cao nhất sau khi ghi nhận các sự cố thực tế từ khách hàng.

Các dấu hiệu nhận biết (IoC)

Đội ngũ bảo mật của PaperCut đã chia sẻ một số chỉ dấu thỏa hiệp (Indicators of Compromise) mà quản trị viên cần lưu ý:

• Cảnh báo từ các hệ thống phát hiện xâm nhập (IDS), bảo mật điểm cuối hoặc giám sát mạng liên quan đến PaperCut Application Server, đặc biệt là các hoạt động đáng ngờ từ tiến trình pc-app.exe.
• Các tệp tin server.log bị thiếu, bị cắt ngắn bất thường hoặc bị xóa.
• Sự xuất hiện của các dòng lỗi trong server.log như: ERROR No suitable driver found for jdbc:no:x hoặc ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.

Khuyến nghị bảo mật

Trong thời gian chờ đợi các thông tin chi tiết hơn, PaperCut khuyến cáo tất cả người dùng đang vận hành PaperCut NG/MF Application Server trên môi trường internet cần thực hiện ngay các biện pháp sau:

• Hạn chế quyền truy cập vào giao diện web của máy chủ PaperCut, chỉ cho phép các địa chỉ IP đáng tin cậy.
• Sử dụng tường lửa (firewall) hoặc các biện pháp kiểm soát truy cập mạng để đảm bảo giao diện quản trị không thể tiếp cận từ các địa chỉ internet không xác định.

Đây là hành động cần thiết ngay cả khi hệ thống của bạn chưa ghi nhận bất kỳ hoạt động đáng ngờ nào. Trước đó, vào năm 2023, một lỗ hổng nghiêm trọng trên PaperCut (CVE-2023-27350) từng bị các nhóm tội phạm mạng lợi dụng để phát tán ransomware như Cl0p và LockBit.

Nguồn tham khảo: The Hacker News