PaperCut NGおよびMF向けの緊急パッチをリリースしてからわずか19時間後、同社は代替版の準備を余儀なくされました。研究者たちが当初の対策を回避する複数の方法を発見し、さらに新たな認証バイパスの亜種も特定したためです。PaperCutはその後、緊急パッチ「Release 2」を発行し、すでに最初の修正を適用済みの管理者に対しても新バージョンのインストールを強く呼びかけています。
これまでの経緯
事の発端は8月27日、PaperCutが顧客サーバーへの実際の攻撃について警告を発したことでした。当初、同社は技術的詳細を伏せ、CVE識別子すら公表していませんでした。管理者に脆弱なシステムへのアクセスを遮断する時間を与えるためです。ブランチ25および26向けの最初の緊急アップデートは、オーストラリア時間の8月28日午前2時10分に公開されました。そして同日午後8時42分までに、PaperCutはHuntressおよびwatchTowrと共同で開発した追加の強化策を盛り込んだ「Release 2」を公開しています。その後、この第2版の修正はブランチ24にも拡大適用されました。
ゼロデイの正体は2つの脆弱性の連鎖
当初正体不明だったこのゼロデイは、実は2つの脆弱性が連鎖したものであることが判明しました。CVE-2026-81578は10点満点中8.8点のスコアが付けられており、アカウントを持たない遠隔の利用者がPaperCutの管理機能にアクセスし、特定の設定を変更できてしまうというものです。問題はWebインターフェースがアクセス権限を検証する方法にありました。特別に細工されたリクエストを送ると、認可なしで閲覧可能なページを表示しつつ、同時に別の保護された管理ページのコンポーネントを実行させることができたのです。権限チェックは表示されているページを基準に行われており、裏側で実行されている処理を見落としていました。
設定が変更されると、今度はスコア9.4のCVE-2026-82078が絡んできます。PaperCutは設定を通じてデータベースドライバークラスを指定できるようにしていましたが、選択されたクラスを承認済みリストと照合していませんでした。最初の脆弱性によって設定を変更する権限を得た攻撃者は、これを利用してアプリケーションのクラスパスから任意のJavaコードをサーバーに読み込ませることができます。この結果、2つの不備が組み合わさることで、認証不要の完全なリモートコード実行が成立してしまうのです。
完全に再現された攻撃チェーン
Huntressは、PaperCut NG 25.0.11.75758の標準インストール環境において、この攻撃チェーンを完全に再現することに成功しました。実証の過程で研究者たちは、PaperCutのpc-app.exeプロセスを通じてWindowsアプリケーションcharmap.exeをSYSTEM権限で遠隔起動しています。この権限レベルがあれば、攻撃者はサーバーをほぼ完全に制御できてしまいます。
単なる実験室でのPoCにとどまらない
これは単なる実験室でのプルーフ・オブ・コンセプトではありません。Huntressは、少なくとも2件の顧客インフラで実際の悪用を検知しています。あるケースでは、8月26日の攻撃はわずか2分足らずで完了しました。侵入者はwhoamiとverのコマンドを実行し、ユーザー名とWindowsのバージョンを特定していました。8月27日に発生した2件目のインシデントでは、実行中のプロセス一覧を取得するためtasklistコマンドも追加で使用されています。
サーバーに残された悪意あるJavaファイル
研究者たちはまた、サーバーにアップロードされたJavaファイル、すなわちUdydn.classとMoo97.classも発見しました。このコードはWindowsとLinuxの両方でコマンドを実行でき、ファイルの読み書きやシステム情報の収集も可能です。その後、この悪意あるクラスは、調査を妨げる目的で、自ら作成したファイルとserver.logのログファイルを削除しようと試みていました。Huntressはこれまでのところ、追加のマルウェアのインストール、永続化の仕組み、コマンドサーバーを通じたそれ以上の活動は確認していません。観測された挙動は、偵察活動あるいはエクスプロイトの有効性を試すテストに近いものと見られます。
最初のパッチも精査で崩れる
最初の緊急アップデートの分析が進むにつれ、事態はさらに深刻さを増しました。watchTowrによれば、同社の研究者は脆弱性を完全に再現したうえで、当初のパッチを回避する複数の方法を発見し、さらに別の認証バイパスの仕組みも見つけ出したといいます。Huntressも同様に、最初の修正に対する複数のバイパス手法をPaperCutに報告していました。こうした精査を経て登場したのが、追加の強化策を施した「Release 2」だったのです。現時点では、実際の攻撃者が最初のパッチのバイパス手法をすでに適用しているという証拠は確認されていません。
影響を受けるバージョンとパッチの提供状況
PaperCutは、NGおよびMFのすべてのバージョンが潜在的に影響を受ける可能性があるとみています。緊急パッチ「Release 2」は、Windows、Linux、macOS向けにブランチ24、25、26向けとして公開されました。バージョン23以前のリリースを利用しているユーザーには、現行ブランチへの移行が推奨されています。更新が必要なのはメインのApplication Serverだけではなく、Site Serverや副次的な印刷サーバーも対象です。Print DeployとMobility Printは、この2つの脆弱性の影響範囲には含まれません。
パッチだけでは不十分な理由
PaperCutは現時点で、パッチの適用だけでは十分な対策とはみなしていません。同社は、Application Serverのウェブインターフェースをオープンなインターネットから切り離し、信頼できるアドレスからのアクセス、あるいは管理された管理用チャネルを通じたアクセスのみを許可するよう助言しています。Shadowserverによれば、脆弱性の公表時点で約1,000台のPaperCutサーバーがオンライン上で到達可能な状態にあり、その大半は北米と欧州に所在していました。
管理者が確認すべき兆候
管理者には、pc-app.exeから起動された不審なプロセス、予期せず削除または切り詰められたserver.logファイル、server/libディレクトリ内の見慣れない.classファイル、そして「No suitable driver found for jdbc:no:x」や「Database error looking up cardID: VALUES CAST」といったエラーの有無を確認するよう推奨されています。侵害が疑われる場合、PaperCutは単なるアップデートにとどまらず、Application Serverを完全に再構築したうえで、攻撃の兆候が見られる前に作成されたクリーンなバックアップからデータを復元することを勧めています。
2023年の再来
PaperCutは以前にも同様の事態を経験しています。2023年、脆弱性CVE-2023-27350によって認証バイパスとサーバー上でのコード実行が可能になりました。複数のサイバー犯罪グループが間もなくこの穴を悪用し始めています。CISAとFBIはPaperCutへの攻撃をBl00dyランサムウェアグループと結びつけており、その後CVE-2023-27350の悪用はLockBitの実行者や他のグループの間でも確認されました。一部の攻撃では、PaperCutへの侵害が内部ネットワークへの最初の侵入口となっていました。
見覚えのある、歓迎されざるパターン
今回の新たな攻撃チェーンは、2023年のシナリオの中でも最も厄介な部分を繰り返しています。印刷管理サーバーは企業ネットワークの内部に設置され、高い権限で稼働していることが多い一方で、脆弱なシステムを攻撃するのにパスワードも事前のアクセス権も必要ありません。今回はそこに、実際に悪用が進行中であるというさらなるリスク要因が加わっています。穴を塞ぐ最初の試みは研究者の精査に耐えられなかったため、当初の緊急パッチを適用済みの管理者も、改めてアップデートを行う必要があります。
翻訳元: https://meterpreter.org/papercut-emergency-patch/
