PaperCut MF/Plus セキュリティ情報 (May 2024)

 

■この記事に掲載する脆弱性はPaperCut MF/Plus Ver.23.0.9で修正されました。 2024年9月27日更新 CVE-2024-3037は CVE-2024-3037とCVE-2024-8404 に分割され再評価されました。 CVE-2024-4712は CVE-2024-4712とCVE-2024-8405 に分割され再評価されました。 この分割と再評価は新規に発見された脆弱性ではなく、 PaperCut MF/Plus Ver.23.0.9の時点で修正されています。

 

概要

このセキュリティ情報では、新しくリリースしたPaperCut MF/Plus(ver.23.0.9以降)の改善点について説明します。
改善点にはPaperCut社の継続的なセキュリティ対策の一環としてサードパーティの依存関係のアップデートも含まれます。
また、このリリースにはこの記事で説明しているCVEの修正も含まれます。
PaperCut社は、これら問題の実際のセキュリティ・リスクは低いと評価しています。
しかし、PaperCut MF/Plusサーバへの管理者以外のユーザのコンソールまたはローカル・ログイン・アクセスを許可している組織は、
優先的にVer.23.0.9以降へアップグレードすることを推奨します。

セキュリティ問題への対応

	問題点	詳細	CVSS評価とベクター
	セキュリティ向上	Web SSOを改善しました。	N/A
	CVE-2024-3037 PaperCut MF/PlusのWebプリントにおけるファイルの任意削除 (Trend Micro社の「ZDI-CAN-20972」としても知られています)	この脆弱性は、Webプリント・サービスにより使用される 特定のロケーションからファイルが削除される可能性があります。 この脆弱性は、サービス「PaperCut Web Print Server」が 有効化されているPaperCut MF/Plusサーバにのみ適用されます。 (デフォルトモード)	7.8 CVSSv3 Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H[1]
	CVE-2024-8404[2] PaperCut MF/PlusのWebプリント・ホットフォルダでの ファイルの恣意的な削除 (Trend Micro社の「ZDI-CAN-23757」としても知られています)	この脆弱性は、以前に報告された修正が適用されたCVE-2024-3037 から分割されたものです。 最新のサーバでは、すでに修正は適用されているため、 追加のアクションを実行する必要はありません。 研究者(Trend Micro ZDI) が同じ脆弱性タイプの2つのインスタンスを 異なる報告者に帰属させることができるように分割されました。 PaperCut MF/Plusに任意のファイルを削除する脆弱性が存在し、 特にWebプリントが有効化されているWindowsサーバに 影響を与えます。 この脆弱性を悪用するには、攻撃者はPaperCut MF/Plusが ホストしているWindowsサーバへローカル・ログイン・アクセスを 取得しWebPrintHotFolder経由でサーバ上で直接低権限コードを 実行できる必要があります。	7.8 CVSSv3 Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
	CVE-2024-4712 PaperCut MF/PlusのWebプリント・イメージ・ハンドラの 任意のファイル作成 (Trend Micro社の「ZDI-CAN-23854」としても知られています)	この脆弱性は、Webプリント・サービスにより使用される特定の ロケーションにファイルが作成される可能性があります。 この脆弱性は、サービス「PaperCut Web Print Server」が 有効化されているPaperCut MF/Plusサーバにのみ適用されます。 (デフォルトモード)	7.8 CVSSv3 Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H [1]
	CVE-2024-8405 PaperCut MF/PlusのWebプリントで任意のファイルが作成され、 サービス拒否攻撃につながる (Trend Micro社の「ZDI-CAN-24042」としても知られています)	この脆弱性は、以前に報告されてた修正が適用された CVE-2024-4712から分割されたものです。 最新のサーバでは、すでに修正は適用されているため、 追加のアクションを実行する必要はありません。 研究者(Trend Micro ZDI) が同じ脆弱性タイプの2つのインスタンスを 異なる報告者に帰属させることができるように分割されました。 この脆弱性は、Webプリント・サービスが使用する 特定のロケーションにファイルを作成される可能性があります。 この脆弱性は、サービス「PaperCut Web Print Server」が有効化されている PaperCut MF/Plusサーバにのみ適用されます。 (デフォルトモード) web-print.exeのプロセスに悪意のあるペイロードが提供されると、 存在しないファイルが誤って作成される可能性があります。 このプロセスを使用して十分な数のファイルが作成されると、 ディスク領域を圧迫し、サービス拒否(DoS)が発生する可能性が あります。	6.1 CVSSv3 Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

^[1] 2024年9月: スコアを再評価
^[2] 2024年9月: CVEを追加

謝辞

PaperCut社は、ZDIプログラムの一環としてTrendMicro社と協力している研究者に感謝します。
TrendMicro社とPaperCut社は、過去12カ月にわたり、PaperCut製品に関するすべての調査とテストを責任を持って開示し、
共同でリリースするように協力してきました。

FAQ

Q． アップグレード版のインストーラの入手方法は?

A． アップグレード版が必要な場合、販売店もしくはCOSY社までお問合せください。
　　アップグレード手順は通常のアップグレード手順と同じです。アップグレード手順の詳細は下記ページを参照してください。

　　【PaperCutPlus/MF アップグレード手順】
   　　http://cosy500-papercut-2.blogspot.com/2013/04/papercut_2634.html

Q． これら脆弱性に対する軽減策はありますか?

A． あります。Webプリントを使用しない場合、サービス「PaperCut Web Print Service」を停止してから無効化してください。
　　このアップグレードはすべてのPaperCutを使用している組織に推奨されますが、
　　インターネットからアクセス可能なPaperCut MF/Plusサーバがある組織や、
　　ネットワーク内に信頼できないアクターがいる組織ではアップグレードを実施されることを強く推奨します。

Q． 古いバージョンを使用しています。
　　Ver.23.0.9にアップグレードする前にそれより古いバージョンにアップグレードする必要がありますか?

A． 不要です。このリリースにはこれまでにリリースされたすべての修正が含まれます。
　　PaperCut MF/Plusの以前のバージョンからこのリリースに直接アップグレードすることができます。

Q． どうしてPaperCutは既に公表されているCVEを遡って更新したのですか?

A． PaperCut社はセキュリティ問題の報告を受けるとその脆弱性を慎重に評価し、最初に提供された例に基づいてスコアを付けます。

　　この問題を報告した研究者と広範に話し合った結果、ほとんどのPaperCutのインストールで、
　　デフォルトのWindowsサーバ構成により、コンソール・ログイン・アクセスのみに制限されることに同意しました。
　　しかし、この脆弱性は意図的な操作、誤った構成、ユーザがサーバにアクセスできるようにするその他の脆弱性を通じて
　　管理者以外のユーザがWindowsにホストされているPaperCutアプリケーション・サーバのローカル・コンソールにログインすることを
　　許可しているお客様にもリスクをもたらす可能性があります。

　　これらの情報に基づき、このCVEは「必要な特権(PR)」を「低」、「攻撃の複雑さ」を「低」として再評価されました。
　　これは管理者がホスト・サーバ上の標準的なユーザにローカル・ログイン・アクセスを許可した最悪のシナリオを反映したものです。
　　この再評価は新しい攻撃経路によるものではなく、PaperCut MF/Plus 23.0.9で修正されています。

Q． どうしてPaperCutは既に公開され修正が適用されたCVEを遡って分割したのですか?

A． 脆弱性は類似しており、1つの修正が複数の報告された問題に影響するため、
　　PaperCutはレポートを1つのCVEに逃走するというアプローチを採用しました。
　　これらの脆弱性を報告した研究者と議論した結果、1つの修正プログラムで複数の報告された脆弱性が修正された可能性がある一方で、
　　報告された攻撃経路は異なっているため、識別する必要があることが判明しました。
　　この分割は新しい攻撃経路によるものではなく、PaperCut MF/Plus 23.0.9で修正されています。

セキュリティ通知

PaperCutセキュリティ・メーリングリストの登録方法について記載します。

PaperCutのセキュリティに関するニュース(セキュリティ関連の修正プログラムや脆弱性情報を含む) をタイムリーに受け取りたい場合、
セキュリティ通知リストに登録し、セキュリティ通知登録フォームから登録してください。システム管理者の方、
または組織でPaperCut製品の導入を実施されている方は、
セキュリティ関連のニュースやアップデートをいち早く入手することができます。

【Subscribe to security notifications】
   https://www.papercut.com/contact/security/#subscribe

更新履歴

	日時	更新/アクション
	2023年05月14日 (ASDT)	PaperCut Plus/MF Ver.23.0.9をリリース (セキュリティ改善および脆弱性修正を含む)
	2024年09月26日 (ASDT)	CVE-2024-3037, CVE-2024-4712のスコアを更新し、 CVE-2024-8404, CVE-2024-8405を追加 FAQを追加

-------------------------

https://www.papercut.com/kb/Main/Security-Bulletin-May-2024