PaperCut CVE-2026-81578 + CVE-2026-82078 방어 툴킷

체인으로 연결된 PaperCut의 사전 인증 원격 코드 실행 취약점에 대한 노출을 확인하고 이해하기 위한 방어적 툴킷입니다:

CVE-2026-81578 — 중요 기능에 대한 인증 누락(CWE-306). 원격의 인증되지 않은 요청이 접근 검증이 완료되기 전에 관리 백엔드 작업을 트리거할 수 있습니다.
CVE-2026-82078 — 안전하지 않은 동적 클래스 로딩. 데이터베이스 연결 유틸리티가 허용 목록 없이 구성 가능한 이름에서 드라이버 클래스를 인스턴스화할 수 있음 → 임의 Java 바이트코드 실행 → 호스트 명령 실행(CVSS 9.4 Critical).

체인 구성 시: 인터넷 → 인증 없음 → 구성 조작 → 안전하지 않은 클래스 로딩 → 임의 Java 실행 → 호스트 명령 실행.

포함 내용

파일	용도
`papercut-exposure-checker.py`	심층 방어 탐지: 버전 대 패치 비교, 웹 노출, IOC 페이로드 스캔, 구성 이상 스캔, 드롭된 `.class` 페이로드 스캔
`papercut-cve-prevention.md`	CWE-306 및 안전하지 않은 클래스 로딩 모두에 대한 취약 코드 패턴과 안전한 코드 패턴을 보여주는 참조 자료

심층 탐지 기능

스캐너는 버전 확인을 넘어섭니다. 실제 현장에서 관찰된 실제 공격 아티팩트를 탐지합니다(Huntress / PaperCut 권고):

버전 — 빌드를 안전한 버전(< 24.1.10, < 25.0.13, < 26.0.5)과 비교합니다.
웹 노출 — PaperCut 웹 인터페이스에 대한 비파괴적 프로브.
IOC 페이로드 스캔 (--log) — server.log에서 공격자 아티팩트 탐지:
- jdbc:derby:memory:pwn (가젯 체인에 사용된 Derby 메모리 DB)
- No suitable driver found for jdbc:no:x
- database error looking up cardID
- base64로 인코딩된 정찰 명령 (whoami & ver, whoami & ver & tasklist)
구성 이상 스캔 (--config) — 공격자가 수정한 외부 사용자 조회 설정 플래그:
- 허용 목록에 없는 드라이버 클래스 이름
- 의심스러운 JDBC URL (jdbc:h2, )

사용법

# PaperCut 서버의 웹 노출 확인 (비파괴적)
python3 papercut-exposure-checker.py --url https://print.server:9191

# 패치된 빌드와 빌드 버전 비교 평가
python3 papercut-exposure-checker.py --version 25.0.11.75758

# 게시된 IOC(페이로드 아티팩트)에 대한 서버 로그 스캔
python3 papercut-exposure-checker.py --log /usr/local/papercut/server/logs/server.log

# 공격자가 수정한 사용자 조회 설정에 대한 구성 파일 스캔
python3 papercut-exposure-checker.py --config /usr/local/papercut/server/server.properties

# 드롭된 .class 페이로드에 대한 lib 디렉터리 스캔
python3 papercut-exposure-checker.py --lib /usr/local/papercut/server/lib

# 전체 심층 스캔 + HTML/JSON 보고서
python3 papercut-exposure-checker.py \
  --url https://print.server:9191 \
  --version 25.0.11.75758 \
  --log /usr/local/papercut/server/logs/server.log \
  --config /usr/local/papercut/server/server.properties \
  --lib /usr/local/papercut/server/lib \
  --html report.html --json report.json

중요 사실 및 완화 조치

패치 릴리스 1만으로는 충분하지 않습니다. PaperCut은 2026년 8월 28일에 추가 하드닝이 포함된 긴급 패치 릴리스 2를 게시했습니다. 고객은 첫 번째 긴급 패치를 이미 설치했더라도 릴리스 2를 설치해야 합니다.
릴리스 2 사용 가능 대상: Windows, Linux, macOS의 PaperCut NG 및 MF v24, v25, v26.
모든 버전 영향: 이 권고는 모든 PaperCut NG 및 MF 버전에 적용됩니다. 패치된 분기 외부의 오래된 설치본은 안전한 것으로 간주해서는 안 됩니다.
활발한 악용 관찰됨: Huntress는 두 고객 환경에서 악용을 보고했습니다(현재까지 주로 시스템 탐색).
즉시 완화 조치: PaperCut 애플리케이션 서버가 공개적으로 접근 가능한 경우, 패치 전에도 방화벽 또는 네트워크 ACL을 사용하여 웹 인터페이스를 신뢰할 수 있는 IP/네트워크로 제한하십시오.

확인할 게시된 IOC

비정상적인 pc-app.exe 활동 (사후 악용)
server.log 누락, 잘림 또는 삭제됨
비정상적인 DB 오류: No suitable driver found, 특정 CardID 조회 오류

참고: IOC가 없다고 해서 서버가 안전하다는 증거는 아닙니다.

중요 고지 사항

이 툴킷은 방어 전용입니다. 어떤 것도 악용하지 않으며 테스트 권한이 있는 서버에서만 사용해야 합니다. 예방 참조 자료는 학습 및 하드닝을 위한 올바른/안전한 코드 패턴을 보여줍니다 — 공격용이 절대 아닙니다.

프로덕션 사용 전에, 벤더 권고에서 정확한 긴급 패치 릴리스 2 빌드 번호를 확인하고 스캐너의 PATCHED_BUILDS를 업데이트하십시오(자리 표시자 값이 사용됨).

papercut-toolkit

인기