PaperCut-fejl blev til sårbarhedssaga
Printmanagement-platformen PaperCut blev i sensommeren ramt af en usædvanlig sårbarhedshistorie, hvor angribere udnyttede en kæde af fejl til at opnå fjernkodekørsel på udsatte systemer. Da producenten begyndte at udsende rettelser, fandt sikkerhedsforskere samtidig nye måder at omgå flere af patchene på.
Det fremgår af en teknisk analyse fra sikkerhedsfirmaet watchTowr.
Forløbet begyndte 27. august, da PaperCut udsendte en hasteadvarsel om aktiv udnyttelse af en hidtil ikke nærmere beskrevet sårbarhed. På det tidspunkt var ingen sikkerhedsopdatering tilgængelig, og kunderne fik primært indikatorer på kompromittering samt midlertidige afværgeforanstaltninger.
En kæde af fejl
De oprindeligt udnyttede sårbarheder bestod ifølge watchTowr af en autentifikationsomgåelse, registreret som EUVD-2026-67713 / CVE-2026-81578, kombineret med en post-authentication Remote Code Execution-sårbarhed, EUVD-2026-67714 / CVE-2026-82078.
Kombinationen gjorde det muligt for en uautoriseret angriber først at omgå loginbeskyttelsen og derefter opnå kodeeksekvering på serveren.
Efter offentliggørelsen af den første patch fandt forskerne imidlertid nye metoder til at omgå rettelserne. Det resulterede i endnu en kæde af fejl, som igen muliggjorde uautoriseret adgang og efterfølgende kodeeksekvering.
Under analysen identificerede watchTowr desuden en helt ny RCE-sårbarhed, senere registreret som EUVD-2026-85811 / CVE-2026-82077.
Resultatet blev et forløb med flere patchrunder på få uger, hvor nye omgåelser blev fundet næsten lige så hurtigt, som de foregående blev lukket.
Ældre webteknologi spillede en central rolle
Kernen i autentifikationsproblemet lå ifølge analysen i PaperCuts brug af Apache Tapestry 3, et webframework med mange år på bagen.
Ved hjælp af særligt konstruerede forespørgsler kunne angribere få adgang til funktioner, som normalt krævede autentifikation. Autorisationskontrollen blev kun udført på den første side, som frameworket behandlede, mens efterfølgende sider i samme forespørgsel kunne tilgås uden yderligere kontrol.
Selv efter flere rettelser lykkedes det forskerne at finde alternative veje gennem systemets installationsguide. Her kunne en angriber blandt andet gennemføre dele af førstegangsopsætningen og ændre administratorens adgangskode uden at være logget ind.
Fax-funktion blev vej til kodeeksekvering
Den nye RCE-sårbarhed blev fundet i platformens "Scan to Fax"-funktion.
Ifølge watchTowr kunne en autentificeret bruger manipulere parametre, så systemet udførte vilkårlige kommandoer på serveren. Problemet skyldtes blandt andet mangelfuld validering af stiangivelser, hvilket gjorde det muligt at få systemet til at kalde eksekverbare filer uden for den tiltænkte mappe.
Kombineret med autentifikationsomgåelsen gav det en komplet kæde, hvor en ekstern angriber uden legitim adgang kunne overtage en sårbar PaperCut-installation.
Flere patchrunder på få uger
PaperCut udsendte i alt flere sikkerhedsopdateringer mellem slutningen af august og begyndelsen af september. Først med version 26.0.5 blev den seneste identificerede RCE-sårbarhed adresseret.
Historien illustrerer, skriver watchTowr, hvor kompliceret moderne patching kan være, når en sårbarhed ikke blot skal lukkes, men også beskyttes mod kreative omgåelser. I dette tilfælde udviklede én aktivt udnyttet sårbarhedskæde sig til en længere serie af nye fejl, patch-bypasses og yderligere sårbarheder, inden forløbet nåede sin afslutning.