世界中の組織、学校、政府機関で利用されている印刷管理ソフトウェアPaperCutは、セキュリティ研究者が新たなゼロデイ脆弱性が実際に悪用されていることを確認した後、緊急パッチを公開しました。この欠陥は、同社が企業のネットワーク全体での印刷の追跡、管理、保護を支援するために販売している中核となる2つの製品、PaperCut NGおよびPaperCut MFに影響します。ITチームへのメッセージは明確です。攻撃者はすでに先手を打っているため、今すぐパッチを適用してください。

PaperCutの脆弱性の内容と影響を受ける対象

PaperCut NGおよびMFは、エンタープライズ環境、大学、公共部門のネットワークに広く導入されており、何か問題が発生するまで誰も考えることのない、目立たないインフラとして静かにバックグラウンドで稼働していることがよくあります。この認知度の低さが問題の一部です。印刷管理サーバーは、プリンター、ユーザーディレクトリ、認証システムと通信できるように、多くの場合、高い権限と広範なネットワークアクセスで実行されており、それを侵害した攻撃者にとって魅力的な足がかりとなっています。

PaperCutがこのような状況に陥るのは今回が初めてではありません。2023年には、CVE-2023-27350として追跡された脆弱性により、認証されていない攻撃者が認証をバイパスし、そのアクセスをPaperCutの組み込みスクリプト機能と連鎖させて悪意のあるコードをリモートで実行できるようになりました。この欠陥は、開示から数週間以内にランサムウェア関連組織に利用され、CISAから正式な勧告が出される対象となりました。今回新たに開示されたゼロデイも同様のパターンに従っています。パッチが広く利用可能になる前に積極的な悪用が発見され、PaperCutのセキュリティチームは修正に迅速に対応せざるを得なくなりました。

攻撃者が実際にどのように悪用しているか

完全な技術的詳細はまだ明らかになっていませんが、PaperCutが警告した悪用パターンは、セキュリティチームがこのソフトウェアで以前に見たものと似ています。攻撃者は、公開されている、またはインターネットに面したPaperCutインスタンスを標的にして不正アクセスを取得し、その足がかりを利用してネットワーク内部で横方向に移動します。プリントサーバーはドメインコントローラーやファイル共有との信頼関係を持つことが多いため、単一の侵害されたPaperCutインスタンスは、このソフトウェアの低い認知度が示唆するよりもはるかに大きな影響範囲を攻撃者に与える可能性があります。

これがゼロデイ、つまりパッチが存在する前に悪用されていたと説明されているという事実は重要です。これは、脆弱なバージョンを実行している組織が、少なくともPaperCutの緊急アップデートが利用可能になるまでは、パッチ適用だけでは防御する方法がなく、さらされていたことを意味します。このタイミングのギャップこそ、ランサムウェアグループや他の金銭目的の攻撃者が狙うところです。

IT管理者とリモートワーカーのための緊急緩和策

IT管理者にとって、現在の優先順位は明確です。できるだけ早くPaperCutの緊急パッチを適用することです。パッチ適用以外にも、今すぐ実行する価値のある追加の手順がいくつかあります。

  • PaperCutサーバーが一般のインターネットに公開されているかどうかを確認し、公開する必要がない場合はアクセスを制限します。
  • PaperCutサーバーの最近の認証ログを確認し、異常な管理者アクティビティや予期しないスクリプトの実行がないか調べます。
  • 可能な場合は、印刷管理サーバーをネットワークの機密部分から分離し、侵害が自動的に広範なアクセスにつながらないようにします。
  • ハイブリッドおよびリモートスタッフが使用するVPNを含むリモートアクセスツールが、強力な認証で構成され、内部管理インターフェースを意図せず広いインターネットに公開していないことを確認します。

リモートおよびハイブリッドワーカーは通常、PaperCutサーバーを直接管理しませんが、より広範なリスクの影響を受けます。企業ネットワークが脆弱なプリントサーバーを介して侵害された場合、そのネットワークを介してアクセス可能なデータ（ファイル、認証情報、VPNを介して到達する内部システムを含む）が潜在的に露出する可能性があります。広く使用されているエンタープライズインフラストラクチャが活発な攻撃下にあることが判明した場合、組織のリモートアクセスポリシーの構成方法を確認することは、合理的な予防策です。

ランサムウェアとデータ恐喝リスクにとってこれが重要な理由

PaperCutのようなパッチ未適用のエンタープライズソフトウェアは、メールサーバーやVPNゲートウェイなどの注目度の高いシステムと比較してパッチ管理サイクルでしばしば見落とされるため、ランサムウェアキャンペーンでの初期侵入ポイントとして繰り返し機能してきました。攻撃者がPaperCutのようなツールを通じて足がかりを得ると、次の段階は通常、権限昇格、横方向の移動、そして最終的には恐喝のためのデータ窃取または暗号化を伴います。2023年のPaperCutインシデントは、ランサムウェア関連組織が印刷管理の欠陥を公開後どれだけ迅速に武器化できるかを示しました。この新しいゼロデイも同じ懸念を引き起こしますが、パッチが存在する前に悪用が始まったため、事前の警告が少ないだけです。

あなたへの影響

組織がPaperCut NGまたはMFを実行している場合は、これを定期的なアップデートではなく、緊急のパッチ適用優先事項として扱ってください。リモートまたはハイブリッド勤務の場合、このインシデントは、VPNやリモートアクセスツールの構成方法を含む組織全体のネットワークセキュリティが、内部システムが侵害されたときにデータがどの程度露出するかに直接影響することを思い出させる良い機会です。PaperCutサーバーを自分で管理していなくても、サーバーが侵害された場合に何が起こるかの影響を受ける可能性があります。

PaperCutゼロデイエクスプロイトは、スポットライトの外にあるエンタープライズソフトウェアが、ネットワーク全体をさらす弱点になり得ることを思い出させます。IT管理者は緊急パッチを直ちに適用し、印刷管理システムの露出を監査する必要があります。一方、リモートワーカーとセキュリティチームは、より広範な多層防御戦略の一環として、この機会を利用してリモートアクセスポリシーを再検討する必要があります。このような勧告を最新の状態に保ち、迅速に対応することは、次のパッチ未適用の侵入口を探しているランサムウェアグループに先んじるための最も効果的な方法の1つです。