eSecurity Planet のコンテンツと製品推奨は編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社に収益が発生する場合があります。 詳細はこちら
PaperCutは、認証なしでリモートコード実行(RCE)につながる脆弱性が攻撃者に悪用され始めたとして、NGおよびMFの印刷管理ソフトウェアにパッチを適用するよう組織に呼びかけています。
PaperCutは緊急セキュリティ勧告を発表し、PaperCut NGおよびMFの全バージョンが影響を受ける可能性があるとして対応にあたっています。
バージョン25および26については緊急アップデートが既に提供されていますが、バージョン24向けの修正版は現在も開発中です。
特に懸念されるのは、実際に悪用が確認されていることと、攻撃者が獲得しうるアクセス権限のレベルの組み合わせです。
脆弱なPaperCutサーバーは、攻撃者にネットワークへの初期侵入拠点を提供するだけでなく、印刷環境で扱われる機密文書やその他のデータを露呈させる恐れがあります。
Huntressの研究者John Hammond氏とAndrew Brandt氏は分析の中で、この脆弱性は「…最終的に悪意ある行為者が任意の攻撃者制御下のコードを実行できるようにしてしまう」と述べています。
watchTowrの脅威インテリジェンス責任者Jake Knott氏は、eSecurityPlanetへのメールで、自身のチームが脆弱性の公表以来PaperCutと協力し、パッチのバイパス手法を特定してその対処を支援していると明らかにしました。
Knott氏は「脅威は依然として非常に現実的です」と述べ、「最新のパッチ適用ガイダンスについてはPaperCutの勧告に従ってください」と付け加えました。
PaperCutへの攻撃はどのように行われるのか
この脆弱性は、影響を受けるPaperCutサーバーが、ページとそれに関連付けられたコンポーネントやアクション間の認可処理をどのように扱っているかに起因します。
未修正のシステムでは、攻撃者はあるページをレンダリング用として参照させつつ、別のページに属するアクションを実行させるようなリクエストを作成できます。認可チェックでは、レンダリングされるページの方を信頼してしまい、実際に実行される背後のコンポーネントに必要な権限を適切に検証できていません。
これにより、認可されていない設定変更や機密機能へのアクセスへの道が開かれてしまいます。
Huntressの研究者はこの問題を再現し、PaperCut NG 25.0.11.75758に対して完全な認証前RCEの攻撃チェーンを実証しました。
リモートシステムから、研究者らはPaperCut Application Serverプロセス(pc-app[.]exe)配下で、SYSTEM権限としてcharmap[.]exeを起動することに成功しています。
攻撃者は既に侵害されたサーバーを探索中
Huntressは8月27日時点で、2件の顧客環境で悪用行為を確認したと報告しています。うち1件のインシデントでは、確認された活動の継続時間は2分未満でした。
攻撃者はBase64エンコードされたコマンドを実行し、デコードするとwhoami & verとなるもので、PaperCutを実行しているアカウントとWindowsのバージョンを特定していました。2件目のインシデントでは、攻撃者は実行中のプロセスを列挙するためにtasklistコマンドも追加していました。
研究者らはまた、WindowsやLinux上でコマンドを実行可能な悪意あるJavaファイルも回収しています。これらのファイルは保存されているファイルを列挙し、その結果をディスクに書き込むことが可能でした。
あるペイロードは、自らの出力に加えてPaperCutのserver[.]logおよびDerbyデータベースのログの削除も試みており、侵入の痕跡を消し去ろうとしていた可能性があります。
こうした挙動を踏まえると、防御側はパッチ適用だけで、過去に外部公開されていたシステムのリスクが解消されると考えるべきではありません。アップデート適用前に悪用が発生していた場合、攻撃者が既にアクセス権を獲得している可能性があります。
Knott氏はこの状況を、CVE-2023-27350という過去のPaperCutの脆弱性になぞらえています。この脆弱性はランサムウェアグループや日和見的な攻撃者による初期侵入手段として悪用されていました。
Knott氏は「私たちはこの展開を以前にも見たことがあります」と述べ、攻撃者には「再びそれを行う理由が十分にある」と付け加えました。
組織が今すぐ取るべき対応
バージョン25または26を運用している組織は、PaperCutの最新の緊急アップデートを適用し、パッチ適用ガイダンスの更新状況について引き続き同社の勧告を注視すべきです。Windows版のバージョン25については、PaperCutは当初NGビルド25.0.12.76497およびMFビルド25.0.12.76496をリリースしました。
可能な限り、PaperCut Application Serverへの外部からのアクセスも遮断すべきです。信頼できるIPアドレスまたはVPNからのアクセスのみに制限してください。修正版をインストールできない場合は、影響を受けるサーバーを隔離してください。
PaperCutサーバーがインターネットに公開されていた場合は、パッチ適用のみに頼らず、侵害の痕跡がないか調査してください。サーバーの再起動やアップグレードを行う前に、ログやその他のフォレンジック証拠を保存しておいてください。
pc-app[.]exeに由来する活動を確認し、不審なファイル作成や永続化の仕組みがないか調べてください。ファイアウォールやDNSのログに加え、プロキシやネットワークフローのデータも追加の証拠となり得ます。
PaperCutはまた、server[.]logファイルが欠落または予期せず切り詰められていないか、そしてDatabase error looking up cardID: VALUES CASTを含むエラーが発生していないかを確認するよう推奨しています。
Knott氏は緊急性を強調し、次のように述べています。「これは、変更管理の手続きを待ったり、身代金要求のメッセージがデスクトップに届いたりするまでパッチ適用を先延ばしにしていいような脆弱性ではありません」
翻訳元: https://www.esecurityplanet.com/threats/papercut-flaw-under-active-attack-enables-pre-auth-rce/
