CVE-2026-8793 — PaperCut NG ログインフォームにおけるブルートフォース保護の欠如

概要

PaperCut NG の Web 管理インターフェースは、そのログインエンドポイントにいかなる形式のブルートフォース保護も実装していない。認証されていない攻撃者は、アカウントのロックアウト、CAPTCHA チャレンジ、またはリクエストのレート制限を引き起こすことなく、任意のアカウントに対して無制限の認証試行を送信できる。

CVE-2026-8794（タイミングサイドチャネルによるユーザー名列挙）と組み合わせると、この脆弱性は完全に標的化された攻撃を可能にする。まず有効なアカウント名を静かに列挙し、その後、アプリケーション層での検出やロックアウトのリスクなしに、それらのアカウントに対して無制限のログイン試行を実行できる。

技術的詳細

影響を受けるエンドポイント

POST /app HTTP/1.1
Host: <target>:9191
Content-Type: application/x-www-form-urlencoded

service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=<password>

確認された動作

組み込みの admin アカウントに対する連続10回の認証失敗試行は、動作上の変化を伴わずに同一の HTTP 200 レスポンスを返した：

アカウントのロックアウトなし CAPTCHA チャレンジなし 段階的な遅延なし レート制限ヘッダーなし（X-RateLimit-*、Retry-After） 試行1回目と試行10回目の間に目に見える差異なし

概念実証：

for i in $(seq 1 10); do
  curl -s -o /dev/null -w "Attempt $i: HTTP %{http_code} — Time: %{time_total}s\n" \
    -X POST "http://<target>:9191/app" \
    -H "Origin: http://<target>:9191" \
    --data "service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=wrongpassword$i"
done

10回すべての試行は HTTP 200 を返し、応答時間や内容に観察可能な差異はなく、いかなるスロットリング機構も存在しないことが確認された。

CVE-2026-8794 との攻撃チェーン

この脆弱性は、CVE-2026-8794 と連鎖させた場合に最も大きな影響を及ぼす：

ステップ1（CVE-2026-8794）— 認証応答時間を測定して有効なユーザー名を列挙する。bcrypt はアカウントが存在する場合にのみ実行されるため、有効なユーザー名は無効なものより平均で約2.1秒長くかかる。2つのタイミング分布は30サンプルにわたって重複がゼロである。

ステップ2（CVE-2026-8793）— 確認済みの有効なアカウントに対して無制限のパスワード試行を実行する。一般的なパスワードリスト、認証情報ダンプ、または標的を絞った推測を、ロックアウトのリスクなしにネットワークの全速度で送信できる。

影響

TCP/9191 へのネットワークアクセスを持つ認証されていない攻撃者は、以下を実行できる：

スロットリングなしで任意のアカウントに対して無制限のパスワード推測を送信できる 流出したパスワードデータベースを使用したクレデンシャルスタッフィング攻撃を自動化できる 組み込みの admin アカウントまたは列挙されたユーザーアカウントに対する標的型攻撃を実行できる

PaperCut NG は、Web インターフェースが印刷キュー、課金、ユーザーアクセスを管理する企業環境や教育環境で広く導入されている。管理者アカウントの侵害は、印刷インフラストラクチャとユーザーデータに対する完全な制御をもたらす。

修復策

管理者向け（暫定緩和策）：

TCP/9191 へのネットワークアクセスを信頼できるホストのみに制限する すべての PaperCut アカウントに強力で一意なパスワードを強制する 上位の ID プロバイダー（AD/LDAP）でアカウントロックアウトが設定されていることを確認する アクセスログで失敗した認証の異常なパターンを監視する

ベンダー向け：

ログインエンドポイントにアプリケーション層のレート制限または段階的ロックアウトを実装する 設定可能な失敗試行回数のしきい値を超えた後に CAPTCHA を導入する（任意） レート制限が適用された場合に Retry-After レスポンスヘッダーを追加する

タイムライン

参考情報

cve.org 上の CVE-2026-8793 CVE-2026-8794 — 連鎖する脆弱性 CWE-307 PaperCut NG 製品ページ

責任ある開示の原則に基づき開示された。完全な技術的詳細は公開前に PaperCut セキュリティチームと共有済みである。

研究者：Vivien LEBAS — @Hazaz