PaperCut MF/Plus セキュリティ情報 (September 2025)

概要

プリンタ展開に関するCVE-2025-9785 が報告されました。
プリンタ展開のVer. 1.9.2917（2025年7月7日以前）のリリース以前に公開された
SSL/TLS証明書検証の設定に関するドキュメント内容は不十分であり、
SSL証明書検証の有効化に関するドキュメントに従って設定したにも関わらず、
お客様がプリンタ展開をセキュアでない方法で設定している可能性があります。
この問題は簡単な設定の更新で解決することができます。

背景

プリンタ展開のVer. 1.9.2917（2025年7月7日以前）のリリース以前に公開された
SSL/TLS証明書検証の設定に関する情報が不足していることが判明しました。
そのため、SSL証明書検証の有効化に関するドキュメントに従って設定したにも関わらず、
プリンタ展開のインストールがセキュアでない状態のまま設定されている可能性があります。
これにより、プリンタ展開サーバに接続するクライアントに対する中間者攻撃が発生する恐れがあります。

プリンタ展開Ver.1.9.2917以降、この問題に対処するためドキュメントが更新されました。
更新されたドキュメントには、アップデータ設定ファイルを構成するための追加の手順が含まれます。
プリンタ展開Ver.1.9.2917以降、インストーラのコマンドラインで「STRICT_SSL=yes」を設定すると、
ドキュメントに記載されている変更がアップデータ設定ファイルに自動的に適用されます。

PaperCut MF/Plusは自己署名証明書で設定可能です。
自己署名証明書を使用するサーバは、中間者攻撃の可能性を軽減するため、
その証明書が既知の認証局（CA）によって発行されたものではなくても、
システムのCA（認証局）バンドルに自己署名証明書を追加し、
オペレーティングシステムまたは特定のアプリケーションがその証明書を信頼するように設定することができます。
なお具体的な設定手順はオペレーティングシステムによって異なり、PaperCutの製品ドキュメントの範囲を超えています。

自己署名証明書は中間者攻撃に対して脆弱であることが知られているため、CA署名証明書を優先することをお勧めします。
ただし、状況によってはPaperCutは自己署名証明書に依存することが有益ば場合もあります。
自己署名証明書を使用する場合、中間者攻撃の可能性を回避するための推奨するストラテジーは、
証明書をシステムのCA（認証局）バンドルに追加することです。
なお具体的な設定手順はオペレーティングシステムによって異なります。

	CVE	詳細	CVSS評価とベクトル
	CVE-2025-9785	PaperCut プリンタ展開機能は、PaperCut NG/MFと連携する オプションコンポーネントであり、プリンタの導入と管理を簡素化します。 コンポーネントが環境に展開されると、顧客は自己署名証明書を使用するように システムを設定するオプションがあります。 顧客がクライアント側で信頼データベースを活用するシステムを完全に構成しない場合、 クライアントとサーバ間の通信が中間攻撃に晒されます。 プリンタ展開のSSL設定に関連するドキュメントの一部が不十分であることが判明しました。 これにより、プリンタ展開クライアントのインストール設定が誤る可能性があります。 PaperCut社は、インストール環境のセキュリティ確保のため有効な証明書を使用すること、 および正しいSSL設定を確実にするため、更新されたドキュメントに従って設定することを 強く推奨します。 プライベートCAおよび/または、自己署名証明書を使用するユーザは、 認証局証明書(もしくは単独で使用する場合は自己署名証明書)を オペレーティングシステムの信頼ストアおよびJavaキーストアに必ずコピーする必要があります。	7.7/High (CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

プライベートCAおよび／または自己署名証明書を使用するユーザは、
認証局証明書（または単独で使用する場合は自己署名証明書）を、
オペレーティングシステムの信頼ストアおよびJavaキーストアに必ずコピーする必要があります。

影響のあるユーザ

この脆弱性は下記の条件に該当するお客様のPaperCut MF/Plusサーバに影響する可能性があります。

・ プリンタ展開機能を使用してプリンタとプリンタ・ドライバを展開している場合

・ プリンタ展開Ver. 1.9.2917 以前（2025年7月7日以前）のドキュメントに基づいて プリンタ展開クライアントを設定している場合

解決の手順

この問題を解決するためには、PaperCut社が公表しているドキュメントに従って更新作業を実施し、証明書検証を適用してください: 

【Enable SSL certificate checking】
https://www.papercut.com/help/manuals/print-deploy/enhance-security/enable-ssl-certificate-checking/#step-4-enforce-certificate-validation-for-print-deploy-client-auto-updates

謝辞

PaperCut社はこの問題を発見し報告して下さった
DBSystel GmbHのTim Kornhuber氏、Oliver Matula氏、Maximilian Plantzner氏に感謝申し上げます。

FAQ

Q． アップグレード版のインストーラの入手方法は?

A． アップグレードは可能ですが、この問題の影響を受けないためには、必ず解決手順を実施してください。

Q． この問題を修正するためにはPaperCut MFをアップグレードする必要がありますか?

A． PaperCut MFのアップグレードは不要です。修正には、「解決の手順」に記載した手順を実施する必要があります。

Q． 既存のプリンタ展開をインストールする環境がある場合、この問題を修正するためにアップグレードするだけで十分ですか?

A． 修正バージョンにアップグレードするだけでは問題は解決しません。解決手順記載されている変更を適用する必要があります。

Q． アップグレードする前に注意すべきことはありますか?

A． ありません。標準的な上書きインストールです。

セキュリティ通知

PaperCutセキュリティ・メーリングリストの登録方法について記載します。

PaperCutのセキュリティに関するニュース(セキュリティ関連の修正プログラムや脆弱性情報を含む) をタイムリーに受け取りたい場合、
セキュリティ通知リストに登録し、セキュリティ通知登録フォームから登録してください。
システム管理者の方、または組織でPaperCut製品の導入を実施されている方は、
セキュリティ関連のニュースやアップデートをいち早く入手することができます。

【Subscribe to security notifications】 https://www.papercut.com/contact/security/#subscribe

更新履歴

	日時	更新/アクション
	2025年09月03日(ASST)	セキュリティ情報を開示