CVE-2026-8794 — PaperCut NG 中通过认证时序侧信道进行的用户名枚举

摘要

PaperCut NG 的认证端点在对已存在账户和不存在账户进行登录尝试时，表现出可测量的时序差异。这种差异源于仅在找到匹配账户时才执行 bcrypt 密码哈希运算，使得未认证的攻击者能够通过测量 HTTP 响应时间来可靠地判断系统中是否存在某个用户名。

当与 CVE-2026-8793（缺乏暴力破解防护）结合时，该漏洞可构成完整的凭据破解攻击链：先枚举有效用户名，再对目标执行无限制的密码猜测，且无需担心账户被锁定。

技术细节

根本原因

时序差异源于一种经典的实现模式：应用仅在数据库中找到与提交的用户名匹配的账户时才调用 bcrypt 比较。对于不存在的账户，认证例程在调用 bcrypt 之前就提前退出，导致响应时间明显更短。

Valid username:   DB lookup (found) → bcrypt comparison → failure response  ~2.1s avg
Invalid username: DB lookup (not found) → immediate failure response         ~0.2s avg

该模式已有充分文档记载（参见 CWE-208）。标准的修复措施是即使账户不存在也执行一次虚拟的 bcrypt 比较，以均衡两条代码路径的响应时间。

测量方法

在受控条件下，对 PaperCut NG 登录端点进行了认证尝试：

• 环境： 隔离实验室、Windows Server 2022、局域网（亚毫秒级基础延迟）
• 样本量： 每种条件下 15 次尝试（有效用户名 / 无效用户名）
• 工具： 使用带 --write-out "%{time_total}" 的 curl，所有情况下均故意使用错误密码

结果

这两个分布呈现零重叠，即使在中等网络抖动下也能可靠地进行枚举。

概念验证

# Measure response time for an existing account (wrong password)
curl -s -o /dev/null -w "%{time_total}\n" \
  -X POST "http://<target>:9191/app" \
  -H "Origin: http://<target>:9191" \
  --data "service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=wrongpassword"
# Output: ~2.1s

# Measure response time for a non-existent account
curl -s -o /dev/null -w "%{time_total}\n" \
  -X POST "http://<target>:9191/app" \
  -H "Origin: http://<target>:9191" \
  --data "service=direct/1/Home/%24Form&inputUsername=zz_doesnotexist_zz&inputPassword=wrongpassword"
# Output: ~0.2s

响应时间显著高于约 0.5 秒，即可可靠地表明该用户名有效。通过一个简单脚本，即可针对常见企业命名模式（firstname.lastname、flastname 等）的字典自动执行枚举。

与 CVE-2026-8793 组合的攻击链

该发现在作为两阶段攻击的第一步时影响最大：

1. 步骤 1（CVE-2026-8794，即本发现） — 通过测量认证响应时间来构建有效的 PaperCut NG 账户名列表。在企业环境中，根据公开来源（LinkedIn、公司网站、电子邮件签名）整理出的少量 firstname.lastname 组合字典通常就足够了。

2. 步骤 2（CVE-2026-8793） — 对确认有效的账户提交无限制的密码尝试。由于缺乏速率限制或锁定机制，任何撞库或密码喷洒攻击都可以全程在线并以全速进行。

影响

能够访问 TCP/9191 网络的未认证攻击者可以：

• 可靠地判断任意用户名是否已在 PaperCut NG 中注册
• 在不触发任何告警或锁定的情况下构建有效用户名列表
• 利用该列表作为通过 CVE-2026-8793 实现完全凭据破解的第一步

在典型的企业部署中，PaperCut 用户名与 Active Directory 账户一一对应。因此，确认有效的 PaperCut 用户名同时也是确认有效的域账户名，从而将侦察价值扩展到 PaperCut 本身之外。

修复措施

对于管理员（临时缓解措施）：

• 仅允许受信任的管理主机通过网络访问 TCP/9191
• 在 PaperCut NG 前部署反向代理或 WAF，对登录端点强制执行速率限制
• 尽可能使用不可猜测、非标准的用户名格式

对于厂商：

当提交的用户名与任何账户都不匹配时，执行常量时间的虚拟 bcrypt 比较，确保无论账户是否存在，响应时间都保持均衡：

# Pseudocode — constant-time authentication pattern
user = db.find_user(username)
if user:
    valid = bcrypt.verify(password, user.password_hash)
else:
    bcrypt.verify(password, DUMMY_HASH)  # always run, result discarded
    valid = False

这是在认证流程中缓解 CWE-208 的成熟模式。

时间线

参考资料

• cve.org 上的 CVE-2026-8794
• CVE-2026-8793 — 关联漏洞
• CWE-208：可观察的时序差异
• 密码时序攻击 — OWASP
• PaperCut NG 产品页面

按照负责任的披露原则进行披露。完整的技术细节已在公开发布之前分享给 PaperCut 安全团队。

研究人员： Vivien LEBAS — @Hazaz