印刷管理のPaperCut NG/MFに悪用済みの脆弱性2件。26.0.5・25.0.13・24.1.10へ更新を

01発表されている事実

1. 8月27日

   PaperCut社がセキュリティ情報を公開

2. 8月28日

   緊急パッチ（第1版、第2版）を公開

3. 8月30日

   侵害の痕跡（IoC）を追加

4. 8月31日

   CISAがKEVに2件を追加

5. 9月1日

   緊急パッチ第3版。SAML認証などの不具合を修正

6. 9月10日

   修正を含む正式版 26.0.5、25.0.13、24.1.10 を公開

CISAによると、2件は組み合わせて使えます。設定を書き換えたうえで、サーバー上でプログラムを動かす流れです。

02影響を受ける会社

PaperCut NG と PaperCut MF は、すべてのバージョンが対象です。学校や事務所で、複合機の利用者ごとの印刷枚数を管理するために入れている場合があります。導入を販売店や複合機の保守会社に任せていると、自社で使っていることに気づきにくい製品です。

PaperCut Hive／Pocket、Mobility Print、Print Deploy、利用者のパソコンに入れるクライアントは対象外です。23以前の版には修正版がなく、24・25・26のいずれかへの移行が必要です。

03今すぐやること

1. 使っているか確かめる。印刷枚数の管理や、社員証をかざして印刷する仕組みがあれば、販売店に製品名を問い合わせます。
2. 管理画面へのアクセスを絞る。PaperCut社は、怪しい動きがなくても、すぐにファイアウォールなどでアプリケーションサーバーのWeb画面を信頼できる接続元だけに限るよう求めています。更新が終わるまでは必須としています。
3. 修正版へ更新する。26.0.5、25.0.13、24.1.10 のいずれか以降にします。本体のサーバーだけでなく、サイトサーバーや二次サーバー（印刷サーバー）も更新します。
4. 侵害の痕跡を調べる。PaperCut社は次のような痕跡を挙げています。
   • server.log に「No suitable driver found for jdbc:no:x」や「jdbc:derby:memory:pwn」などの記録
   • pc-app.exe からの cmd.exe の起動（whoami などの実行）
   • 「Remote Access Service」という名前の見覚えのないサービス、予定にない AnyDesk の導入
   • server.log の消失や途中での切れ
5. 痕跡があれば作り直す。PaperCut社は、バックアップを確保し、サーバーを作り直したうえで、不審な動きより前のバックアップから戻すよう案内しています。攻撃者は痕跡を消すことがあるため、見つからなくても安全とは言い切れません。

04同じことを防ぐには

今回確認された攻撃では、侵入後に遠隔操作ツールを入れる動きが報告されています。ランサムウェア被害の入口になりやすい流れです。印刷管理のように「総務の道具」と思われがちなソフトも、社内の機器の一覧に入れ、更新の担当を決めておきます。痕跡が見つかった場合は、図鑑の「事故対応・フォレンジック」で相談先を探せます。