مجموعة أدوات الدفاع ضد PaperCut CVE-2026-81578 + CVE-2026-82078

مجموعة أدوات دفاعية للتحقق وفهم التعرض لثغرات تنفيذ التعليمات البرمجية عن بُعد قبل المصادقة المتسلسلة في PaperCut:

• CVE-2026-81578 — فقدان المصادقة لوظيفة حرجة (CWE-306). يمكن لطلب عن بُعد غير مصادق عليه تشغيل إجراء إداري في الخلفية قبل اكتمال التحقق من الوصول.
• CVE-2026-82078 — تحميل فئات ديناميكي غير آمن. يمكن لأداة اتصال قاعدة البيانات إنشاء مثيل لفئة برنامج تشغيل من اسم قابل للتكوين دون قائمة سماح → تنفيذ كود Java عشوائي → تنفيذ أوامر على المضيف (CVSS 9.4 حرج).

عند التسلسل: الإنترنت ← بدون مصادقة ← التلاعب بالإعدادات ← تحميل فئات غير آمن ← تنفيذ Java عشوائي ← تنفيذ أوامر على المضيف.

ما بداخل المجموعة

ميزات الكشف العميق

يتجاوز الماسح التحقق من الإصدار. فهو يكتشف أدوات الهجوم الفعلية المرصودة في البرية (استشارة Huntress / PaperCut):

1. الإصدار — يقارن البنية بالإصدارات الآمنة (< 24.1.10, < 25.0.13, < 26.0.5).
2. التعرض عبر الويب — فحص غير مدمر لواجهة PaperCut على الويب.
3. فحص حمولات IOC (--log) — يكتشف أدوات المهاجم في server.log:
   • jdbc:derby:memory:pwn (قاعدة بيانات Derby في الذاكرة المستخدمة في سلسلة الأدوات)
   • No suitable driver found for jdbc:no:x
   • database error looking up cardID
   • أوامر الاستطلاع المشفرة بـ base64 (whoami & ver, whoami & ver & tasklist)
4. فحص شذوذ الإعدادات (--config) — يعلّم إعدادات البحث الخارجي عن المستخدمين المعدلة من قبل المهاجم:
   • أسماء فئات برامج تشغيل غير مدرجة في قائمة السماح
   • عناوين JDBC مشبوهة (jdbc:h2, )

الاستخدام

# فحص التعرض عبر الويب لخادم PaperCut (غير مدمر)
python3 papercut-exposure-checker.py --url https://print.server:9191

# تقييم إصدار بنية مقابل البنيات المصححة
python3 papercut-exposure-checker.py --version 25.0.11.75758

# فحص سجل الخادم بحثًا عن مؤشرات الاختراق المنشورة (أدوات الحمولة)
python3 papercut-exposure-checker.py --log /usr/local/papercut/server/logs/server.log

# فحص ملف الإعدادات بحثًا عن إعدادات البحث عن المستخدمين المعدلة من قبل المهاجم
python3 papercut-exposure-checker.py --config /usr/local/papercut/server/server.properties

# فحص مجلد lib بحثًا عن حمولات .class المسقطة
python3 papercut-exposure-checker.py --lib /usr/local/papercut/server/lib

# فحص عميق كامل + تقارير HTML/JSON
python3 papercut-exposure-checker.py \
  --url https://print.server:9191 \
  --version 25.0.11.75758 \
  --log /usr/local/papercut/server/logs/server.log \
  --config /usr/local/papercut/server/server.properties \
  --lib /usr/local/papercut/server/lib \
  --html report.html --json report.json

حقائق مهمة وإجراءات التخفيف

• الإصدار التصحيحي 1 غير كافٍ. نشرت PaperCut الإصدار التصحيحي الطارئ 2 في 28 أغسطس 2026 مع تحصين إضافي. يجب على العملاء تثبيت الإصدار 2 حتى لو كانوا قد ثبّتوا التصحيح الطارئ الأول بالفعل.
• الإصدار 2 متاح لـ: PaperCut NG وMF الإصدارات v24 وv25 وv26 على Windows وLinux وmacOS.
• جميع الإصدارات متأثرة: تنطبق الاستشارة على جميع إصدارات PaperCut NG وMF؛ ولا ينبغي اعتبار التثبيتات الأقدم خارج الفروع المصححة آمنة.
• لوحظ استغلال نشط: أبلغت Huntress عن استغلال في بيئتين للعملاء (اكتشاف النظام بشكل أساسي حتى الآن).
• تخفيف فوري: إذا كان خادم تطبيقات PaperCut متاحًا للجمهور، فقم بتقييد الواجهة على الويب بعناوين IP/شبكات موثوقة باستخدام جدار حماية أو قائمة تحكم بالوصول (ACL) — حتى قبل التصحيح.

مؤشرات الاختراق المنشورة للفحص

• نشاط غير معتاد لـ pc-app.exe (ما بعد الاستغلال)
• server.log مفقود أو مبتور أو محذوف
• أخطاء قاعدة بيانات غير طبيعية: No suitable driver found, أخطاء بحث محددة عن CardID

ملاحظة: غياب مؤشرات الاختراق لا يثبت أن الخادم نظيف.

إخلاء مسؤولية مهم

هذه المجموعة دفاعية فقط. لا تستغل أي شيء ويجب استخدامها فقط على الخوادم المصرح لك باختبارها. يعرض مرجع الوقاية أنماط التعليمات البرمجية الصحيحة/الآمنة للتعلم والتحصين — وليس للهجوم أبدًا.

قبل الاستخدام في الإنتاج، تحقق من أرقام بنية الإصدار التصحيحي الطارئ 2 الدقيقة من استشارة البائع وحدّث PATCHED_BUILDS في الماسح (تُستخدم قيم مؤقتة).