Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Death By A Thousand PaperCuts (PaperCut Pre-Auth RCE Chain and Patch Bypasses WT-2026-0141-0144/CVE-2026-82077/CVE-2026-82078/CVE-2026-81578)

1 minute de lecture

Mis à jour :

Chronique d’une faille annoncée : La saga des vulnérabilités PaperCut

Les chercheurs de watchTowr ont identifié une série de vulnérabilités critiques dans le logiciel de gestion d’impression PaperCut, exploitées activement dans la nature et caractérisées par des tentatives répétées de contournement des correctifs successifs. Le problème central réside dans une gestion défaillante de l’authentification et une validation insuffisante des entrées utilisateur, permettant l’exécution de code à distance (RCE).

Points clés

  • Instabilité des correctifs : Plusieurs itérations de correctifs ont été contournées, forçant l’éditeur à publier des mises à jour successives (26.0.4, 26.0.4-PO build 76508, 26.0.5).
  • Séquençage des attaques : Les attaquants combinent une faille de contournement d’authentification (Pre-Auth) avec une faille d’exécution de code post-authentification (Post-Auth RCE) pour obtenir un contrôle total du système.
  • Obsolescence technologique : L’utilisation du framework Apache Tapestry 3, vieux d’une vingtaine d’années et peu maîtrisé par les développeurs actuels, est au cœur de ces failles.

Vulnérabilités identifiées

  • CVE-2026-81578 : Contournement d’authentification initial (exploité in-the-wild).
  • CVE-2026-82078 : Exécution de code à distance (Post-Auth) initial (exploité in-the-wild).
  • CVE-2026-82077 (WT-2026-0144) : Nouvelle vulnérabilité RCE Post-Auth découverte lors de l’analyse des correctifs.
  • WT-2026-0143 : Contournement critique de l’authentification identifié dans la version 26.0.4-PO build 76508, abusant du processus d’installation (Setup Wizard) pour réinitialiser les mots de passe administrateur.

Recommandations

  1. Mise à jour immédiate : Appliquer sans délai les dernières versions correctives fournies par PaperCut (a minima la version 26.0.5 ou supérieure).
  2. Audit de configuration : Vérifier les paramètres du système, notamment la fonctionnalité “Scan to Fax”, et s’assurer qu’aucune modification non autorisée n’a été effectuée sur les arguments de ligne de commande (system.scan.fax.send.command-args).
  3. Surveillance active : Utiliser les outils de détection fournis par la communauté (comme le Detection Artefact Generator disponible sur le GitHub de watchTowr) pour vérifier si votre instance est exposée aux contournements d’authentification.
  4. Isolement réseau : Restreindre l’accès aux interfaces de gestion de PaperCut aux seuls réseaux internes de confiance afin de limiter l’exposition aux attaques de type Pre-Auth.

Source

Vous pourriez aimer