El servidor de impresión sigue siendo el activo que nadie audita y todos exponen. PaperCut publicó este jueves un aviso urgente: hay explotación activa de una vulnerabilidad que afecta a todas las versiones de PaperCut NG y PaperCut MF, y ya hay incidentes confirmados en clientes. No hay CVE asignado, no hay CVSS y el fabricante no ha dicho qué es el bug ni qué hacen los atacantes después de entrar.
Qué pasó
"El equipo de respuesta de seguridad de PaperCut Software está investigando la explotación activa de una vulnerabilidad que afecta a PaperCut NG y PaperCut MF", dice el aviso. Y remata con la frase que en un advisory nunca es buena señal:
Tenemos conocimiento de incidentes confirmados en clientes y estamos tratando este asunto con la máxima prioridad.
La reproducción del bug no salió de un pentest interno ni de un programa de bug bounty: el propio fabricante dice que su equipo consiguió reproducir la vulnerabilidad con información aportada por un cliente universitario. Traducido: alguien fue víctima primero, entregó las evidencias, y con eso el vendor pudo entender su propio agujero. Ese orden de los factores define un 0-day real, no un hallazgo de laboratorio.
PaperCut liberó un parche de emergencia dirigido explícitamente a los clientes con servidores NG/MF de cara a internet que no puedan aplicar otra mitigación. El consejo primario, mientras tanto, es de red y no de software: meter el Application Server detrás de reglas de firewall o controles de acceso y dejar la interfaz web accesible solo desde IPs de confianza.
Por qué importa
PaperCut no es software de nicho. Es gestión de impresión desplegada a escala en universidades, gobierno local, salud y corporativos — el tipo de producto que se instala una vez, se olvida y termina publicado en internet porque "es solo la cola de impresión". Y ya sabemos cómo acaba esa película: en abril de 2023, la CVE-2023-27350 (bypass de autenticación y RCE pre-auth) fue explotada masivamente y adoptada por operadores de ransomware como vector de entrada inicial. El servidor de impresión resultó ser un pivote cómodo hacia el resto del dominio.
El detalle que debería preocupar más a un equipo de seguridad no es el bug: es la asimetría de información. Hoy los atacantes saben qué es la vulnerabilidad y los defensores no. Sin CVE, sin descripción técnica y sin versión mínima segura, no puedes escanear por ello, no puedes escribir una firma propia y no puedes justificar la ventana de mantenimiento con un número de referencia. Solo puedes cerrar el puerto.
El detalle técnico
Lo único concreto que dio el fabricante son indicadores de compromiso, y valen la pena porque son barrer-el-log directo:
- Actividad sospechosa originada por
pc-app.exe, el proceso legítimo de PaperCut. Es la señal clásica de ejecución de comandos a través del servicio: el binario de confianza que de pronto lanza procesos hijos o hace conexiones que no le tocan. - Archivos
server.logmodificados, borrados o ausentes. Anti-forense básico. Un log que falta es un hallazgo, no un vacío. - Errores concretos en
server.log:ERROR No suitable driver found for jdbc:no:xyERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
Ese segundo error es el más elocuente. Un cardID que revienta el CAST del motor de base de datos y una cadena JDBC malformada apuntan a que la entrada del atacante viaja por el campo de identificador de tarjeta y llega a la capa de datos sin sanitizarse — el camino habitual hacia inyección o carga de driver arbitrario. Es inferencia a partir de los IOCs, no confirmación del vendor, pero orienta dónde mirar.
Advertencia importante del propio PaperCut: la ausencia de indicadores no significa que el servidor esté limpio. Si tu instancia estuvo expuesta, la postura correcta es asumir compromiso hasta demostrar lo contrario, no al revés.
Qué hacer
- Inventario primero. Localiza cada Application Server de PaperCut NG/MF y determina cuáles tienen la interfaz web alcanzable desde internet. Esa lista es tu cola de trabajo de hoy, no de la próxima ventana.
- Cierra el perímetro ya. Firewall o ACL: interfaz de administración y web solo desde IPs de confianza o VPN. Es la mitigación que el propio fabricante pone por delante del parche.
- Aplica el parche de emergencia en los servidores públicos y da seguimiento al aviso: el vendor dijo que lo seguirá actualizando con más IOCs y guía de remediación.
- Caza con los IOCs. Procesos hijos de
pc-app.exe, integridad deserver.logy los dos strings de error. Si tienes EDR, una regla por creación de procesos desdepc-app.exete cubre más que cualquier firma. - Trata el servidor como un pivote. Si hay indicios, revisa credenciales de servicio, cuentas de dominio asociadas y movimiento lateral. En 2023 esta misma familia de fallos fue puerta de entrada a ransomware.
Y la lección estructural, que no requiere CVE: si un servidor de impresión tiene su interfaz de administración en internet, el problema no empezó hoy.