PaperCut CVE-2026-81578 + CVE-2026-82078 防御工具包

一个防御性工具包，用于检查并了解对 PaperCut 中链式预认证远程代码执行漏洞的暴露情况：

• CVE-2026-81578 — 关键功能缺少身份验证（CWE-306）。远程未认证请求可在访问验证完成前触发管理后台操作。
• CVE-2026-82078 — 不安全的动态类加载。数据库连接工具可从可配置名称实例化驱动类，且无白名单 → 任意 Java 字节码执行 → 主机命令执行（CVSS 9.4 严重）。

链式利用路径：互联网 → 无认证 → 配置篡改 → 不安全类加载 → 任意 Java 执行 → 主机命令执行。

内容包含

深度检测功能

扫描器不仅限于版本检查。它还能检测野外观察到的实际攻击痕迹（Huntress / PaperCut 公告）：

1. 版本 — 将构建版本与安全版本对比（< 24.1.10、< 25.0.13、< 26.0.5）。
2. Web 暴露 — 对 PaperCut Web 界面进行非破坏性探测。
3. IOC 载荷扫描（--log）— 检测 server.log 中的攻击者痕迹：
   • jdbc:derby:memory:pwn（gadget 链中使用的 Derby 内存数据库）
   • No suitable driver found for jdbc:no:x
   • database error looking up cardID
   • base64 编码的侦察命令（whoami & ver、whoami & ver & tasklist）
4. 配置异常扫描（--config）— 标记被攻击者修改的外部用户查找设置：
   • 非白名单驱动类名
   • 可疑 JDBC URL（jdbc:h2、jdbc:derby:memory）

使用方法

# 检查 PaperCut 服务器的 Web 暴露情况（非破坏性）
python3 papercut-exposure-checker.py --url https://print.server:9191

# 评估构建版本与已修补版本的对比
python3 papercut-exposure-checker.py --version 25.0.11.75758

# 扫描服务器日志以查找已发布的 IOC（载荷痕迹）
python3 papercut-exposure-checker.py --log /usr/local/papercut/server/logs/server.log

# 扫描配置文件以查找被攻击者修改的用户查找设置
python3 papercut-exposure-checker.py --config /usr/local/papercut/server/server.properties

# 扫描 lib 目录以查找被投放的 .class 载荷
python3 papercut-exposure-checker.py --lib /usr/local/papercut/server/lib

# 完整深度扫描 + HTML/JSON 报告
python3 papercut-exposure-checker.py \
  --url https://print.server:9191 \
  --version 25.0.11.75758 \
  --log /usr/local/papercut/server/logs/server.log \
  --config /usr/local/papercut/server/server.properties \
  --lib /usr/local/papercut/server/lib \
  --html report.html --json report.json

重要事实与缓解措施

• 补丁发布 1 不够。 PaperCut 于 2026 年 8 月 28 日发布了紧急补丁发布 2，并进行了额外加固。即使客户已安装第一个紧急补丁，也必须安装发布 2。
• 发布 2 适用于： Windows、Linux、macOS 上的 PaperCut NG 和 MF v24、v25、v26。
• 所有版本均受影响： 该公告适用于所有 PaperCut NG 和 MF 版本；已修补分支之外的旧安装不应被视为安全。
• 已观察到活跃利用： Huntress 报告在两个客户环境中发现了利用行为（目前主要是系统发现）。
• 立即缓解措施： 如果 PaperCut 应用服务器可公开访问，请使用防火墙或网络 ACL 将 Web 界面限制为受信任的 IP/网络——即使在修补之前也应如此。

需检查的已发布 IOC

• 异常的 pc-app.exe 活动（利用后）
• server.log 缺失、被截断或被删除
• 异常的数据库错误：No suitable driver found、特定的 CardID 查找错误

注意： 没有 IOC 并不能证明服务器是干净的。

重要免责声明

本工具包仅用于防御。它不会利用任何漏洞，且应仅用于您被授权测试的服务器。预防参考文档展示了正确/安全的代码模式，用于学习和加固——绝不用于攻击。

在生产环境使用前，请从供应商公告中核实确切的紧急补丁发布 2 构建版本号，并更新扫描器中的 PATCHED_BUILDS（当前使用占位值）。