PaperCut CVE-2026-81578 + CVE-2026-82078 防御ツールキット

チェーンされた 事前認証リモートコード実行 の脆弱性に対する PaperCut の曝露を確認・理解するための 防御用 ツールキットです:

• CVE-2026-81578 — 重要な機能に対する認証の欠如 (CWE-306)。リモートからの未認証リクエストが、アクセス検証が完了する前に管理バックエンドのアクションをトリガーできます。
• CVE-2026-82078 — 安全でない動的クラスローディング。データベース接続ユーティリティが、許可リストなしで設定可能な名前からドライバークラスをインスタンス化できる → 任意の Java バイトコード実行 → ホストコマンド実行 (CVSS 9.4 Critical)。

チェーン時: インターネット → 認証なし → 設定操作 → 安全でないクラスローディング → 任意の Java 実行 → ホストコマンド実行。

内容物

詳細な検出機能

スキャナーはバージョン確認を超えて動作します。実際に観測された 攻撃アーティファクト を検出します (Huntress / PaperCut アドバイザリ):

1. バージョン — ビルドを安全なバージョン (< 24.1.10、< 25.0.13、< 26.0.5) と比較します。
2. Web 曝露 — PaperCut Web インターフェースへの非破壊的プローブ。
3. IOC ペイロードスキャン (--log) — server.log 内の攻撃者アーティファクトを検出します:
   • jdbc:derby:memory:pwn (ガジェットチェーンで使用される Derby メモリ DB)
   • No suitable driver found for jdbc:no:x
   • database error looking up cardID
   • base64 エンコードされた偵察コマンド (whoami & ver、whoami & ver & tasklist)
4. 設定異常スキャン (--config) — 攻撃者によって変更された外部ユーザールックアップ設定にフラグを立てます:
   • 許可リストにないドライバークラス名
   • 不審な JDBC URL (jdbc:h2、)

使用方法

# PaperCut サーバーの Web 曝露を確認 (非破壊的)
python3 papercut-exposure-checker.py --url https://print.server:9191

# ビルドバージョンをパッチ適用済みビルドと評価
python3 papercut-exposure-checker.py --version 25.0.11.75758

# 公開された IOC (ペイロードアーティファクト) のサーバーログをスキャン
python3 papercut-exposure-checker.py --log /usr/local/papercut/server/logs/server.log

# 攻撃者によって変更されたユーザールックアップ設定の設定ファイルをスキャン
python3 papercut-exposure-checker.py --config /usr/local/papercut/server/server.properties

# ドロップされた .class ペイロードの lib ディレクトリをスキャン
python3 papercut-exposure-checker.py --lib /usr/local/papercut/server/lib

# 完全な詳細スキャン + HTML/JSON レポート
python3 papercut-exposure-checker.py \
  --url https://print.server:9191 \
  --version 25.0.11.75758 \
  --log /usr/local/papercut/server/logs/server.log \
  --config /usr/local/papercut/server/server.properties \
  --lib /usr/local/papercut/server/lib \
  --html report.html --json report.json

重要な事実と緩和策

• パッチリリース 1 では不十分です。 PaperCut は 2026年8月28日 に追加の強化を含む 緊急パッチリリース 2 を公開しました。最初の緊急パッチをすでにインストールしている場合でも、お客様はリリース 2 をインストールする必要があります。
• リリース 2 の対象: Windows、Linux、macOS 上の PaperCut NG および MF v24、v25、v26。
• すべてのバージョンが影響を受けます: アドバイザリはすべての PaperCut NG および MF バージョンに適用されます。パッチ適用済みブランチ外の古いインストールは安全と見なすべきではありません。
• 活発な悪用が観測されています: Huntress は 2 つの顧客環境での悪用を報告しました (これまでのところ主にシステム偵察)。
• 即時の緩和策: PaperCut Application Server が公開アクセス可能な場合、パッチ適用前であっても、ファイアウォールまたはネットワーク ACL を使用して Web インターフェースを信頼できる IP/ネットワークに制限してください。

確認すべき公開 IOC

• 異常な pc-app.exe アクティビティ (侵害後の活動)
• server.log の欠落、切り詰め、または削除
• 異常な DB エラー: No suitable driver found、特定の CardID ルックアップエラー

注記: IOC がないことは、サーバーがクリーンであることを証明するものではありません。

重要な免責事項

このツールキットは 防御専用 です。何も悪用せず、テストを許可されたサーバーでのみ 使用してください。予防リファレンスは、学習と強化のための 正しい/安全なコードパターン を示しています — 攻撃のためではありません。

本番環境で使用する前に、ベンダーのアドバイザリから 緊急パッチリリース 2 の正確なビルド番号 を確認し、スキャナー内の PATCHED_BUILDS を更新してください (プレースホルダー値が使用されています)。