PaperCut MF/Plus セキュリティ情報 (December 2024)

重要 この記事に記載する脆弱性は、PaperCut Ver.24.1.1以降で修正されています。

 

概要

このセキュリティ情報は、新しくリリースしたPaperCutの改善点と変更点をカバーしています。
このリリースには、この記事で扱われているCVEの修正が含まれます。
PaperCut社では、これらの問題が実際にはセキュリティ・リスクが低いと評価していますが、
管理者以外のユーザによるコンソールまたはローカル・ログイン・アクセスを許可するPaperCutサーバがある組織では、
アップグレードを優先することを推奨します。

アップグレード方法

スタンダードな上書きインストールを実行します。これが最も簡単な方法です。

・ アップグレード版インストーラにつきましては弊社までご連絡ください。

・ 念のためアップグレードを実行する前に、PaperCutのバックアップを取得してください。
　 バックアップ方法は下記サイトを参照してください。

　 【バックアップ方法について】 https://cosy500-papercut-2.blogspot.com/2020/03/blog-post_31.html
　 上記URLの「■ 手動バックアップの方法(オンライン)」を参照してください。

・ バックアップ実行後、アップグレード版のインストーラを実行し上書きインストールを実行してください。

・ 上書きインストール完了後、PaperCut管理画面にログインし、<PaperCutについて>ページの「バージョン情報」から
　 アップグレードしたバージョンに代わっているかを確認してください。

セキュリティ問題への対応

CVE	詳細	CVSS評価とベクター
CVE-2024-9672 PaperCut における反射型XSS	PaperCut MF/Plusに反射型クロスサイトスクリプティング(XSS)の 脆弱性が存在します。 この脆弱性を利用すると、特別に作成されたJavaScriptペイロードを ブラウザで実行できる可能性があります。 この問題が発生するには、ユーザが悪意のあるリンクを クリックする必要があります。	6.3 CVSSv4 Vector: AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:H/SI:H/SA:N

CVSS v4への切り替え

CANとして、PaperCut社は自社製品のCVEを発行しています。
CVE分野の新しいアップデートは、新しいCVSS v4スコアリング・システムが利用可能になったことです。
CVSSスコアリング・システムの各イテレーションは、その前進を改善することを目的としており、
新しいCVSS v4スコアリング・システムは、CVSS v3に対する幅広い批判や制限の多くを修正することを目指しています。
cve.orgおよび情報セキュリティコミュニティの推奨に従い、PaperCut社ではスコアリングにCVSS v4を採用することを決定し、
今後のCVEもCVSS v4を使用してスコアリングする予定です。

謝辞

PaperCut社は、このCVEを発見したAccenture社のAndrej Simko氏に感謝の意を表します。

FAQ

Q． 脆弱性対応バージョンはどこで入手できますか？

A． 脆弱性対応バージョンの入手に関しましてはCOSY社までご連絡ください。

Q． 脆弱性対応バージョンを適用する前に注意すべき点はありますか?

A． ありません。アップグレード方法は通常の上書きインストールの手順と同じです。

Q． これら脆弱性を軽減する方法はありますか?

A． Ver.24.1.1以降にアップグレードする以外、このCVEを緩和する方法はありません。

Q． 古いバージョンを使用しています。Ver.24.1.1にアップグレードする前にそれより古いバージョンにアップグレードする必要がありますか?

A． 不要です。このリリースにはこれまでにリリースされたすべての修正が含まれます。
　　PaperCut MF/Plusの以前のバージョンからこのリリースに直接アップグレードすることができます。

Q． バージョン22.x もしくは 23.x を使用しています。
　　運用上の理由で24にアップグレードできません。これら古いバージョンのHotfixは利用できますか?

A． このような場合、これらの脆弱性は重大であると評価されていないため、
　　機能強化は24.1.1およびそれ以降のバージョンのリリースのみに含まれており、
　　古いバージョンには適用されません。

セキュリティ通知

PaperCutセキュリティ・メーリングリストの登録方法について記載します。

PaperCutのセキュリティに関するニュース(セキュリティ関連の修正プログラムや脆弱性情報を含む) をタイムリーに受け取りたい場合、
セキュリティ通知リストに登録し、セキュリティ通知登録フォームから登録してください。
システム管理者の方、または組織でPaperCut製品の導入を実施されている方は、
セキュリティ関連のニュースやアップデートをいち早く入手することができます。

【Subscribe to security notifications】 https://www.papercut.com/contact/security/#subscribe

更新履歴

日時	更新/アクション
2024年12月10日 (ASDT)	脆弱性対応バージョンである24.1.1をリリース
2024年12月10日 (ASDT)	最初のセキュリティ速報メールを送信

-------------------------

https://www.papercut.com/kb/Main/security-bulletin-december-2024/?lid=ysursrdv8rmw