PaperCut Authentication Bypass and Dynamic Class Loading: Pre-authentication RCE Chain Actively Exploited

查看原文 / View Original 编辑 / Edit

PaperCut Authentication Bypass and Dynamic Class Loading: Pre-authentication RCE Chain Actively Exploited

PaperCut 身份验证绕过与动态类加载：预身份验证远程代码执行链正被积极利用

1. Basic Information

1. 基本信息

Article Title: PaperCut releases second emergency patch for exploited flaws 文章标题： PaperCut 发布针对被利用漏洞的第二个紧急补丁

Source: BleepingComputer 来源： BleepingComputer

Publication Date: 2026-08-28 发布日期： 2026-08-28

Original Source: BleepingComputer 原始来源： BleepingComputer

Related References: PaperCut urgent security advisory, Huntress, The Record, SecurityWeek 相关参考： PaperCut 紧急安全公告、Huntress、The Record、SecurityWeek

Related Malware / Threat Groups / CVEs / Products: CVE-2026-81578, CVE-2026-82078, PaperCut MF, PaperCut NG 相关恶意软件/威胁组织/CVE/产品： CVE-2026-81578, CVE-2026-82078, PaperCut MF, PaperCut NG

Severity: Critical 严重程度： 严重

2. Executive Summary

2. 执行摘要

An authentication bypass in PaperCut MF/NG chains with insecure dynamic class loading, allowing unauthenticated remote attackers to execute Java code with server process privileges. Because bypass vectors remained in the initial fix, applying Release 2 is required. PaperCut MF/NG 中的身份验证绕过漏洞与不安全的动态类加载漏洞形成攻击链，允许未经身份验证的远程攻击者以服务器进程权限执行 Java 代码。由于初始修复中仍存在绕过向量，因此必须应用第二个版本（Release 2）的补丁。

3. Attack Flow

3. 攻击流程

Attack Steps: 攻击步骤：

  1. An unauthenticated attacker connects to the management interface.

  2. 未经身份验证的攻击者连接到管理界面。

  3. They use an authentication bypass to call backend management operations and modify database-related settings.

  4. 他们利用身份验证绕过漏洞调用后端管理操作，并修改与数据库相关的设置。

  5. They specify an unwhitelisted driver class name to load a deployed Java class.

  6. 他们指定一个未列入白名单的驱动程序类名，以加载已部署的 Java 类。

  7. pc-app.exe executes commands with SYSTEM privileges.

  8. pc-app.exe 以 SYSTEM 权限执行命令。

  9. They delete output files and server.log, then proceed with additional actions.

  10. 他们删除输出文件和 server.log，然后进行后续操作。

4. Attacker Position and Execution Location

4. 攻击者位置与执行位置

An attacker who reaches the target product and exploits vulnerable features or improper permission boundaries. After success, they operate with application or elevated privileges. 攻击者能够访问目标产品并利用易受攻击的功能或不当的权限边界。攻击成功后，他们将以应用程序权限或提升后的权限进行操作。

5. Visibility for Victims and Administrators

5. 受害者与管理员的可视性

Victims: Appears as normal operation or occurs without user interaction, making it difficult to detect through UI signs alone. 受害者： 表现为正常操作或在无需用户交互的情况下发生，仅通过 UI 迹象难以察觉。

Administrator: 管理员：

  • A process tree where pc-app.exe spawns whoami, ver, tasklist, and cmd.exe.

  • 进程树显示 pc-app.exe 衍生出 whoami、ver、tasklist 和 cmd.exe。

  • Unknown .class, .cmd, and .out files under server/lib, and missing server.log.

  • server/lib 下存在未知的 .class、.cmd 和 .out 文件，且 server.log 丢失。

  • jdbc:derby:memory:pwn or “No suitable driver found” errors in derby.log.

  • derby.log 中出现 jdbc:derby:memory:pwn 或“No suitable driver found”错误。

6. Success and Failure Conditions

6. 成功与失败条件

Success Conditions: 成功条件：

  • Reachable management interface.

  • 可访问的管理界面。

  • Unpatched against both the authentication bypass and dynamic class loading.

  • 未针对身份验证绕过和动态类加载漏洞进行修补。

  • The server loads the attacker’s Java class.

  • 服务器加载了攻击者的 Java 类。

Failure Conditions / Risk Mitigation: 失败条件/风险缓解：

  • Apply Release 2 and update versions prior to v23 to the latest release line.

  • 应用 Release 2 补丁，并将 v23 之前的版本更新至最新发布版本。

  • Restrict the management interface to trusted IPs or VPNs.

  • 将管理界面限制为仅限受信任的 IP 或 VPN 访问。

  • Prevent the placement of unknown classes in server/lib and shell execution by pc-app.exe.

  • 防止在 server/lib 中放置未知类，并阻止 pc-app.exe 执行 shell 命令。

7. What Happens Upon Success

7. 攻击成功后的后果

Remote code execution equivalent to SYSTEM on the PaperCut server. Access to configuration and connection data, and deployment of additional payloads. Credential theft and a foothold for lateral movement. 在 PaperCut 服务器上实现等同于 SYSTEM 权限的远程代码执行。获取配置和连接数据，并部署额外的有效载荷。窃取凭据并为横向移动建立立足点。

8. Observable Logs

8. 可观测日志

  • Email: N/A.

  • 电子邮件： 不适用。

  • Proxy/SWG/DNS: Process tree showing pc-app.exe spawning whoami, ver, tasklist, and cmd.exe.

  • 代理/SWG/DNS： 进程树显示 pc-app.exe 衍生出 whoami、ver、tasklist 和 cmd.exe。

  • Endpoint/EDR: Unknown .class, .cmd, and .out files under server/lib, and missing server.log.

  • 终端/EDR： server/lib 下存在未知的 .class、.cmd 和 .out 文件，且 server.log 丢失。

  • Identity/IdP: jdbc:derby:memory:pwn or “No suitable driver found” errors in derby.log.

  • 身份/IdP： derby.log 中出现 jdbc:derby:memory:pwn 或“No suitable driver found”错误。

  • SaaS/Cloud: For cloud deployments, check WAF, load balancer, and audit logs.

  • SaaS/云： 对于云部署，检查 WAF、负载均衡器和审计日志。

  • Network: Check for outbound connections to unknown destinations after successful exploitation.

  • 网络： 检查攻击成功后是否存在指向未知目的地的出站连接。

9. Attack Success Determination

9. 攻击成功判定

  • Attack Attempt Observed (Success Unconfirmed): Contact with the target is confirmed, but out-of-bounds operations or code execution are unconfirmed.

  • 观察到攻击尝试（成功未确认）： 已确认与目标建立联系，但越界操作或代码执行尚未确认。

  • User Interaction Confirmed: This issue requires no user interaction or is completed entirely via API operations.

  • 已确认用户交互： 此问题无需用户交互，或完全通过 API 操作完成。

  • Initial Execution Confirmed: Unauthorized responses, processing, or suspicious child processes confirmed.

  • 已确认初始执行： 已确认未经授权的响应、处理或可疑子进程。

  • Data Theft or Session Compromise Confirmed: Unauthorized information retrieval, credential access, or transmission confirmed.

  • 已确认数据窃取或会话泄露： 已确认未经授权的信息检索、凭据访问或传输。

  • Post-Compromise Confirmed: Additional payloads, persistence, tampering, deletion, or lateral movement confirmed.

  • 已确认入侵后行为： 已确认存在额外的有效载荷、持久化、篡改、删除或横向移动。

10. Investigation Playbook

10. 调查手册

  • Trigger: Detection of vulnerability exploitation or abnormal behavior in PaperCut MF/NG.

  • 触发条件： 检测到 PaperCut MF/NG 中的漏洞利用或异常行为。

  • Initial Check: Verify version, exposure scope, patch status, initial anomaly timestamp, and source IP; preserve HTTP, application, and audit logs.

  • 初步检查： 验证版本、暴露范围、补丁状态、初始异常时间戳和源 IP；保留 HTTP、应用程序和审计日志。

  • Endpoint: Unknown .class, .cmd, and .out files under server/lib, and missing server.log.

  • 终端： server/lib 下存在未知的 .class、.cmd 和 .out 文件，且 server.log 丢失。

  • Authentication/Cloud: jdbc:derby:memory:pwn or “No suitable driver found” errors in derby.log.

  • 身份验证/云： derby.log 中出现 jdbc:derby:memory:pwn 或“No suitable driver found”错误。

  • Subsequent Activity: Investigate additional files, outbound traffic, credential access, and impact on other assets.

  • 后续活动： 调查额外文件、出站流量、凭据访问以及对其他资产的影响。

  • Containment: Apply Release 2 and update versions prior to v23 to the latest release line; restrict the management interface to trusted IPs or VPNs; block unknown classes in server/lib and shell execution by pc-app.exe; if compromise is confirmed, isolate the target and revoke related credentials and sessions.

  • 遏制： 应用 Release 2 补丁，并将 v23 之前的版本更新至最新发布版本；将管理界面限制为仅限受信任的 IP 或 VPN 访问；阻止在 server/lib 中放置未知类，并阻止 pc-app.exe 执行 shell 命令；如果确认被入侵，隔离目标并撤销相关凭据和会话。

  • Determination Categories: Contact, preconditions met, initial success, information compromise, subsequent compromise.

  • 判定类别： 联系、满足前提条件、初始成功、信息泄露、后续入侵。

11. Defense and Detection Ideas

11. 防御与检测思路

  • Single Event: Process tree showing pc-app.exe spawning whoami, ver, tasklist, and cmd.exe.

  • 单一事件： 进程树显示 pc-app.exe 衍生出 whoami、ver、tasklist 和 cmd.exe。

  • Timeline Correlation: External request or operation -> vulnerable feature -> remote code execution equivalent to SYSTEM on the PaperCut server -> correlate subsequent behavior.

  • 时间线关联： 外部请求或操作 -> 易受攻击的功能 -> 在 PaperCut 服务器上实现等同于 SYSTEM 权限的远程代码执行 -> 关联后续行为。

  • Hunting: Process tree showing pc-app.exe spawning whoami, ver, tasklist, and cmd.exe; unknown .class, .cmd, and .out files under server/lib, and missing server.log; jdbc:derby:memory:pwn or “No suitable driver found” errors in derby.log.

  • 威胁狩猎： 进程树显示 pc-app.exe 衍生出 whoami、ver、tasklist 和 cmd.exe；server/lib 下存在未知的 .class、.cmd 和 .out 文件，且 server.log 丢失；derby.log 中出现 jdbc:derby:memory:pwn 或“No suitable driver found”错误。

  • Log Gaps: Without correlating timestamps across HTTP, application, process, identity, and network logs, the success stage cannot be determined.

  • 日志缺口： 如果不关联 HTTP、应用程序、进程、身份和网络日志中的时间戳，则无法确定攻击成功阶段。

  • Priority Countermeasures: Apply Release 2 and update versions prior to v23 to the latest release line; restrict the management interface to trusted IPs or VPNs; prevent the placement of unknown classes in server/lib and shell execution by pc-app.exe.

  • 优先对策： 应用 Release 2 补丁，并将 v23 之前的版本更新至最新发布版本；将管理界面限制为仅限受信任的 IP 或 VPN 访问；防止在 server/lib 中放置未知类，并阻止 pc-app.exe 执行 shell 命令。

12. Facts / Inference / Hypothesis

12. 事实 / 推理 / 假设

  • Facts: CVE-2026-81578 allows attackers to reach backend management operations and modify settings prior to authentication checks. CVE-2026-82078 fails to restrict database driver class names via a whitelist, allowing the execution of Java bytecode on the classpath. Huntress confirmed exploitation at two customer sites, observing SYSTEM-privilege command execution from pc-app.exe, deployment of Udydn.class / Moo97.class, and deletion of server.log. Multiple bypass vectors remained in the initial fix.
  • 事实： CVE-2026-81578 允许攻击者在身份验证检查之前访问后端管理操作并修改设置。CVE-2026-82078 未能通过白名单限制数据库驱动程序类名，从而允许在类路径上执行 Java 字节码。Huntress 在两个客户站点确认了漏洞利用，观察到 pc-app.exe 执行了 SYSTEM 权限的命令、部署了 Udydn.class / Moo97.class，并删除了 server.log。初始修复中仍存在多个绕过向量。
← 返回新闻列表 / Back to news list