Błąd CSRF w PaperCut NG i MF pozwala wykonać polecenia na serwerze wydruku, gdy zalogowany administrator kliknie spreparowany link. CISA potwierdza ataki. Zaktualizuj do 22.1.1 i wylogowuj się z panelu.
Ten alert jest dla zarządu, CTO i CFO firm, szkół, kancelarii i przychodni, które rozliczają wydruki w PaperCut NG lub PaperCut MF. Werdykt: jeśli Twój serwer PaperCut ma wersję starszą niż 22.1.1 (lub 21.2.12 / 20.1.8 w starszych gałęziach), zaktualizuj go w tym tygodniu, a dziś wprowadź zasadę wylogowywania się z panelu administracyjnego, bo luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 28 lipca 2025 roku dopisała podatność CVE-2023-2533 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd typu CSRF (fałszowanie żądań): jeśli administrator zalogowany do panelu PaperCut kliknie spreparowany link, panel wykona polecenie napastnika tak, jakby wydał je administrator. Skutkiem może być zmiana ustawień bezpieczeństwa albo wykonanie dowolnego kodu na serwerze.
Poprawka jest dostępna od czerwca 2023 roku, a dowody ataków pojawiły się dwa lata później. Termin naprawy wg CISA minął 18 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-2533 |
Data dodania do CISA KEV | 2025-07-28 |
Termin naprawy wg CISA | 2025-08-18 (21 dni od wpisu) |
Produkt | PaperCut NG i PaperCut MF (zarządzanie i rozliczanie druku) na Windows, Linux i macOS; dotyczy serwerów aplikacji |
Wersje zagrożone | Wg producenta: wszystkie wersje przed 22.1.1 poza wydaniami z poprawką 21.2.12 i 20.1.8. Atak wymaga administratora z aktywną sesją w panelu, który otworzy spreparowany link |
Wersje bezpieczne | 22.1.1 lub nowsza (zalecenie producenta); w starszych gałęziach 21.2.12 oraz 20.1.8. NVD zapisuje zakres dla NG i MF niespójnie wokół 22.1.1, więc rozstrzyga biuletyn producenta |
Typ podatności | Fałszowanie żądań międzywitrynowych (Cross-Site Request Forgery); CWE-352 |
Ocena CVSS | NVD: 8.8 WYSOKA (CVSS 3.1, bez uprawnień napastnika). Fluid Attacks (zgłaszający): 8.4 WYSOKA (CVSS 3.1, wysokie uprawnienia, skutki poza aplikacją). PaperCut: 7.9 (CVSS 3.1 z czynnikami czasowymi i środowiskowymi). Wszystkie: wymaga działania użytkownika |
Wyobraź sobie kierownika, który ma na biurku firmową pieczątkę i przybija ją na każdym dokumencie przychodzącym wewnętrznym obiegiem, bo skoro przyszedł wewnętrznie, to jest w porządku. Napastnik nie musi kraść pieczątki ani podrabiać podpisu. Wystarczy, że wsunie swój dokument do obiegu, a zostanie ostemplowany, bo procedura sprawdza, skąd papier przyszedł, a nie kto go napisał.
Tak działa CSRF. Zalogowany administrator ma w przeglądarce „przepustkę” do panelu, dołączaną automatycznie do każdego żądania pod ten adres, nawet jeśli wywołała je zupełnie inna strona. Gdy administrator ma otwarty panel PaperCut w jednej karcie i kliknie link z e-maila w drugiej, panel wykona ukryte polecenie z jego uprawnieniami. Serwer wydruku zna konta pracowników, historię nazw drukowanych plików i ma dostęp do drukarek w całej sieci.
💡 PaperCut NG/MF to program do rozliczania wydruków, wymuszania logowania przy drukarce i zwalniania zadań druku. CSRF (Cross-Site Request Forgery) to atak, w którym obca strona zmusza przeglądarkę zalogowanej osoby do wysłania polecenia. Sesja to stan „zalogowania” zapamiętany przez przeglądarkę. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator klika link w e-mailu | Otwiera się zwykła strona | Panel PaperCut w tle wykonuje polecenie napastnika |
Zmiana ustawień bezpieczeństwa serwera | Tylko świadomie przez administratora | Także bez jego wiedzy |
Hasło administratora | Chroni panel | Nie jest potrzebne napastnikowi |
Historia wydruków (nazwy plików kadr, kancelarii) | Widoczna dla uprawnionych | Dostępna po przejęciu serwera |
Filtr antywirusowy | Blokuje złośliwe załączniki | Nie widzi problemu w zwykłym linku |
źródło: Pexels, Anna TarazevichPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne, ze skutkiem całkowitym, ale bez możliwości automatyzacji: ktoś musi wybrać administratora i przekonać go do kliknięcia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Ustalenie, że organizacja używa PaperCut, i znalezienie osoby administrującej (np. z LinkedIn, strony szkoły) | Wybrana ofiara |
2. Przygotowanie | T+godziny | Przygotowanie strony wysyłającej ukryte żądanie do panelu i wiarygodnej wiadomości | Gotowa pułapka |
3. Kliknięcie | T+dni | Administrator z otwartym panelem klika link podpisany np. nazwiskiem rodzica lub klienta | Polecenie wykonane z jego uprawnieniami |
4. Przejęcie | T+minuty | Zmiana ustawień bezpieczeństwa i wykonanie kodu na serwerze | Kod napastnika na serwerze wydruku |
5. Obserwacja | T+dni do tygodni | Przegląd kont, historii wydruków, połączeń z katalogiem użytkowników | Wiedza o firmie i dostęp do sieci |
6. Dalszy atak | T+tygodnie | Ruch z serwera wydruku do innych systemów, kradzież danych | Włamanie poza serwer druku |
Serwer wydruku rzadko jest na liście systemów krytycznych, a stoi w środku sieci, zna wszystkich pracowników i widzi nazwy dokumentów. Luka wymaga kliknięcia administratora, więc linią obrony są nawyki jednej lub dwóch osób, a nie zapora sieciowa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie druku na czas odtwarzania serwera | Godziny do dni | 5 tys. do 50 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Dostęp do kont, historii wydruków, połączenia z katalogiem użytkowników | Minuty po kliknięciu | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty dalszego włamania do sieci, specjalistów, ewentualnego szantażu | Tygodnie | 20 tys. do 400 tys. PLN |
Reputacyjny | Ujawnienie poufnych spraw klientów (kancelaria, przychodnia) | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z PaperCut NG/MF bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo możliwe jest wykonanie kodu na serwerze w środku sieci; prawdopodobieństwo jest średnie, bo atak wymaga, by zalogowany administrator kliknął przygotowany link, i nie da się go zautomatyzować.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w panelu PaperCut numer wersji i porównać z biuletynem producenta (nie z rejestrem) | Dziś | Administrator druku |
2 | 🔴 NATYCHMIAST | Wprowadzić zasadę: wylogowanie z panelu po pracy, panele administracyjne w osobnej przeglądarce | Dziś | Administrator / CTO |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy panel administracyjny PaperCut jest dostępny z internetu; jeśli tak, ograniczyć do sieci wewnętrznej | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Zaktualizować PaperCut NG/MF do 22.1.1 lub nowszej (albo 21.2.12 / 20.1.8) | Do 7 dni | Administrator / partner IT |
5 | 🟠 PILNIE | Przejrzeć ustawienia bezpieczeństwa serwera i listę administratorów pod kątem zmian, których nikt nie wprowadzał | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Ograniczyć liczbę kont z uprawnieniami administratora PaperCut | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Dopisać serwer wydruku do listy systemów objętych regularnymi aktualizacjami | Do 30 dni | CTO |
PaperCut wydał poprawki dla gałęzi 20, 21 i 22 w czerwcu 2023 roku, więc aktualizacja jest możliwa. Do czasu jej wykonania poniższe miary znacząco zmniejszają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wylogowywanie się z panelu po każdej sesji pracy | Wysoka: bez aktywnej sesji atak nie działa | Łatwa, wymaga dyscypliny |
Osobna przeglądarka lub profil tylko do paneli administracyjnych | Wysoka | Łatwa |
Dostęp do panelu tylko z sieci wewnętrznej lub przez VPN | Średnia: ogranicza skutki, ale CSRF działa z przeglądarki administratora | Średnia |
Ostrożność wobec linków w wiadomościach dla osób z uprawnieniami administratora | Średnia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja PaperCut | Starsza niż 22.1.1 | 22.1.1 lub nowsza (albo 21.2.12 / 20.1.8) |
Sesja administratora | Otwarta cały dzień obok poczty | Zamykana po pracy, w osobnej przeglądarce |
Dostęp do panelu | Możliwy z internetu | Tylko z sieci wewnętrznej |
Liczba administratorów | Nieznana, często za duża | Ograniczona do niezbędnych osób |
Status wobec terminu CISA | Zaległość od 18 sierpnia 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: aktywne, bez automatyzacji, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 8.4 WYSOKA wg Fluid Attacks (CVSS 3.1); 7.9 wg PaperCut (CVSS 3.1 z czynnikami czasowymi i środowiskowymi) |
PoC dostępny publicznie? | Fluid Attacks opublikował publiczny opis luki; PaperCut w swojej ocenie oznaczył istnienie działającego sposobu wykorzystania; gotowego exploita nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Carlos Andrés Bello, Fluid Attacks |
Powiązana luka w tym samym biuletynie | CVE-2023-31046 (path traversal), naprawiona w 22.1.1 |
Prognoza EPSS | Blisko 0,30, wyżej niż 98% znanych luk (wg analizy źródłowej) |
Rejestry zapisują zakres wersji niespójnie (m.in. różnie dla NG i MF przy wersji 22.1.1), a europejska baza powtarza ocenę zgłaszającego zamiast NVD. Żadna z tych rozbieżności nie zmienia działań: rozstrzyga biuletyn producenta.
Sygnały zagrożenia dla CVE-2023-2533
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (Fluid) 8.4/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~30% ██████░░░░░░░░░░░░░░ wyżej niż 98% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak celowany 2023-06 Biuletyn bezpieczeństwa PaperCut, wersje 22.1.1, 21.2.12, 20.1.8
2023-06-20 Publikacja CVE-2023-2533 w NVD
2025-07-28 CISA dodaje lukę do katalogu KEV (ponad 2 lata później)
2025-08-18 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 13 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z wersjami: PaperCut Security Bulletin June 2023 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-2533 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa PaperCut NG lub MF | CTO | DZISIAJ |
2 | Uzyskać numer wersji serwera i listę osób z uprawnieniami administratora | CTO | DZISIAJ |
3 | Wprowadzić zasadę wylogowania i osobnej przeglądarki dla paneli administracyjnych | CTO | DZISIAJ |
4 | Zatwierdzić termin aktualizacji do 22.1.1 lub nowszej | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa serwisowa obejmuje aktualizacje oprogramowania druku | CFO | DO JUTRA |
6 | Sprawdzić, czy licencja lub wsparcie PaperCut pozwala na aktualizację do bieżącej wersji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja PaperCut NG/MF działa na naszym serwerze? | [wersja] | 🔴 |
2 | Kiedy zaktualizowano ją do 22.1.1 lub nowszej? | [data] | 🔴 |
3 | Czy panel administracyjny jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Ile osób ma uprawnienia administratora PaperCut? | [liczba] | 🟠 |
5 | Czy administratorzy korzystają z osobnej przeglądarki do paneli administracyjnych? | TAK / NIE | 🟠 |
6 | Czy przejrzano ustawienia bezpieczeństwa serwera pod kątem nieautoryzowanych zmian? | TAK / NIE, [data] | 🟠 |
7 | Czy serwer PaperCut jest połączony z katalogiem kont firmy i jakim kontem? | TAK / NIE, [konto] | 🟡 |
CVE-2023-2533 w PaperCut NG i MF pozwala napastnikowi wykonać polecenia na serwerze wydruku rękami administratora, który przy zalogowanym panelu kliknie spreparowany link. CISA potwierdza ataki, a poprawka jest dostępna od czerwca 2023 roku, więc dziś trzeba wprowadzić zasadę wylogowywania i sprawdzić wersję, a w tym tygodniu zaktualizować serwer do 22.1.1 lub nowszej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.