PaperCutは、自社の印刷管理製品であるPaperCut NGおよびPaperCut MFに存在する脆弱性が攻撃者によって実際に悪用されていることを確認し、緊急セキュリティ勧告を発表しました。
同社によると、顧客からインシデントの報告が寄せられており、この問題を最優先で対応すべきセキュリティ緊急事態として扱っているとのことです。この脆弱性は、PaperCut NGおよびPaperCut MFの全バージョンに影響します。
PaperCutはこの欠陥に関する完全な技術的詳細をまだ公表していませんが、同社のインシデント対応チームは、大学の顧客、自社のセキュリティチーム、そしてデジタルフォレンジック・インシデント対応(DFIR)プロバイダーから提供された情報をもとに、この脆弱性の再現に成功したと述べています。
インターネットからアクセス可能なPaperCut Application Serverを運用している組織に対しては、Webアクセスを信頼できる内部IPアドレスに直ちに制限するよう呼びかけています。
PaperCutは、不審な活動が確認されていない場合でも、管理者はこの対策を講じるべきだと強調しています。アクセス制御が適用され、緊急アップデートが導入されるまでの間、インターネットに公開されたPaperCutインフラは特に危険にさらされているとみなすべきだとしています。
PaperCutは、8月28日午前2時10分(オーストラリア東部標準時)に、PaperCut NGおよびPaperCut MFのバージョン25および26向けの緊急パッチをリリースしました。このビルドは、外部からアクセス可能なPaperCut環境を運用しており、代替の緩和策を速やかに適用できない顧客を対象としています。
PaperCut MFについては、緊急リリース版としてバージョン26.0.4.76494およびバージョン25.0.12.76496が提供されています。PaperCut NGの顧客は、既存のメジャーリリースに応じて、バージョン26.0.4.76495またはバージョン25.0.12.76497を導入する必要があります。インストーラーはWindows、Linux、macOS向けに用意されています。
PaperCutは、これらはあくまで緊急リリースであり、同社が通常行っているソフトウェアリリースプロセスを経たものではないと強調しています。
同社は現在も本件の調査を継続しており、侵害の痕跡(IOC)の追加情報や修復ガイダンスを含む、検証済みの詳細情報を今後公表するとしています。
PaperCut NG/MFバージョン24向けのパッチについては、現在も開発中です。PaperCutは、特に印刷管理サーバーがインターネットに公開されている場合や、信頼度の低いネットワークセグメントからアクセス可能な場合には、可能な限り最新のサポート対象バージョンへアップグレードするよう推奨しています。
防御担当者は、PaperCut Application Serverに関連するアラート、特にpc-app.exeプロセスに関連した侵害後の不審な活動を調査する必要があります。その他の侵害の兆候としては、PaperCutのserver.logファイルが欠落している、想定外に切り詰められている、または削除されているといった状態が挙げられます。
PaperCutはまた、調査の価値があるログメッセージとして次の2つを挙げています。ERROR No suitable driver found for jdbc:no:xおよびERROR DatabaseUtils - Database error looking up cardID: VALUES CASTです。
同社は、これらのログエントリが存在しないからといって、サーバーが侵害されていないと確認できるわけではないと注意を促しています。
管理者は、入手可能なPaperCutのログを保全し、エンドポイント、ネットワーク、プロキシ、ファイアウォール、認証、データベースの各テレメトリを調べ、異常な挙動がないか確認する必要があります。
セキュリティチームは、PaperCutサービスから生成された想定外のプロセス、不審な外部への通信、認証の異常、設定変更、不規則なデータベースクエリの活動がないか注意を払うべきです。
今回のパッチは、外部データベースからのカード/ID番号照会機能を利用している組織にとって、運用上考慮すべき点をもたらします。パッチ適用後のビルドでは、この機能内でEXEC、EXECUTE、CALLのいずれかの文を含むSQLクエリが拒否されるようになります。
こうした連携機能を利用している組織は、自社の設定を見直し、修復作業の一環として互換性のあるクエリへの変更をテストしておく必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化
翻訳元: https://cyberpress.org/papercut-ng-mf-vulnerability-exploited/
