企業列印控管軟體 PaperCut 漏洞 CVE-2023-2533 已遭利用攻擊

PaperCut 漏洞列入 CISA 已知可利用目錄

美國資安基礎設施安全局（CISA）將企業列印控管軟體 PaperCut NG/MF 一個高風險漏洞列入「已知可被利用漏洞目錄」（Known Exploitable Vulnerabilities Catalog），並建議用戶在 2025 年 8 月 18 日前完成修補。此漏洞編號為 CVE-2023-2533，可能讓駭客藉由此漏洞更改安全設定或執行任意程式碼。

PaperCut NG 與 PaperCut MF 都是列印管理軟體，PaperCut NG 是核心列印管理系統，PaperCut MF 則在 NG 基礎上，額外支援多功能設備（MFD）上的影印、傳真與掃描等功能，兩者皆提供網頁管理介面，方便遠端操作與報表管理。

漏洞細節

PaperCut NG/MF 出現跨站請求偽造（CSRF）漏洞，駭客在特定條件下可能透過此漏洞更改安全設定或執行任意程式碼。此漏洞利用的前提為目標使用者必須是系統管理員且處於登入狀態，攻擊者須誘使該管理員點擊惡意連結，進而導致未經授權的設定變更。

目前該漏洞已有實際攻擊案例，但尚無公開的概念驗證（Proof of Concept，PoC）程式碼。

Qualys 威脅情資給予此漏洞 95 分（Qualys Vulnerability Score, QVS），QVS 是 Qualys 根據 CVE 的多項因素（如 CVSS、活躍攻擊狀態、漏洞成熟度、CISA 列管等）所計算的風險分數。

影響版本

此漏洞適用於 PaperCut NG 及 MF 21.2.0 到 22.0.12（含）版本，涵蓋所有作業系統平台。

建議措施

建議用戶將 PaperCut NG/MF 升級至 22.1.1 或以上版本，以修補此漏洞。詳細資訊請參考 PaperCut 官方安全公告。

PaperCut 推出資安強化更新

廠商針對 PaperCut NG/MF 發布新的安全配置與預設設定，有效降低攻擊者透過此系統發動連鎖攻擊的風險。此次更新引入了新的 security.properties 設定檔，將部分關鍵組件的設定從網頁管理介面分離，包括：

• • • 列印與裝置腳本的執行權限管理（例如限制可執行檔及不安全程式碼的運作）。
    • 明確控管外部可執行檔的授權權限，如自訂驗證外掛程式及其他擴充功能的執行權限。

Qualys 偵測方式

Qualys 用戶可透過 QID 383707 掃描設備，偵測是否存在此漏洞。敬請持續關注 Qualys Threat Protection，獲取最新漏洞與資安防護資訊。

參考來源：Qualys