في عالم الأمن السيبراني، يمثل استغلال الثغرات الأمنية تحديًا كبيرًا للمنظمات. مؤخرًا، تم اكتشاف ثغرتين في نظام PaperCut قد تؤديان إلى تنفيذ تعليمات برمجية عشوائية بدون مصادقة، مما يثير القلق حول سلامة الأنظمة.
استغلال ثغرتين في PaperCut لتنفيذ التعليمات البرمجية بدون مصادقة
يستغل المهاجمون ثغرة أمنية تم تصحيحها حديثًا في PaperCut NG وMF لتنفيذ تعليمات برمجية عشوائية على النسخ المعرضة للخطر، حيث أصدرت الشركة إصلاحًا طارئًا جديدًا مع تعزيزات إضافية.
قال باحثو Huntress، جون هاملتون وأندرو براندت: “تتيح هذه الثغرة لمهاجم غير مصادق عليه التحكم عن بُعد في تكوين PaperCut الموثوق، مما يمكنه من تنفيذ تعليمات برمجية جافا عشوائية داخل عملية التطبيق”.
يمكن للمهاجم استغلال طلب غير مصادق عليه لإجراء تغييرات على تكوين الخادم وتحقيق تنفيذ التعليمات البرمجية. وقد أوضحت Huntress الثغرة على النحو التالي:
في الإصدارات غير المصححة من PaperCut NG وMF، يمكن أن يشير طلب مُعد خصيصًا إلى صفحة واحدة يتم عرضها كاستجابة، وصفحة أخرى تمتلك المكون أو الإجراء الذي يتم تنفيذه.
يمكن أن تثق فحص التفويض في الصفحة المعروضة وتفوت الأذونات المطلوبة من المكون خلفها. لقد وجدنا أنه يمكن استخدام طلب غير مصادق عليه بهذه الطريقة لإجراء تغييرات على تكوين الخادم، مما يتيح الوصول إلى نقاط نهاية حساسة يمكن أن تؤدي إلى إجراءات غير آمنة، وفي النهاية يسمح لمهاجم خبيث بتنفيذ أي تعليمات برمجية تحت سيطرته.
الثغرات المكتشفة
- CVE-2026-82078 (درجة CVSS: 9.4) – توجد ثغرة في تحميل الفئات الديناميكية غير الآمنة في أدوات الاتصال بقاعدة البيانات لـ PaperCut MF وNG. يقوم التطبيق بإنشاء فئات برامج تشغيل قاعدة البيانات بناءً على أسماء برامج تشغيل قابلة للتكوين دون التحقق من قائمة السماح للفئات المعتمدة.
- CVE-2026-81578 (درجة CVSS: 8.8) – توجد ثغرة في التحكم في الوصول غير الصحيح في واجهة الإدارة على الويب لـ PaperCut MF وNG. في ظل ظروف معينة، يمكن أن تؤدي الطلبات غير المصدقة المستهدفة للوظائف الإدارية إلى تنفيذ إجراءات خلفية قبل اكتمال فحوصات التحقق من الوصول.
تأتي هذه التطورات بعد أن أصدرت PaperCut تصحيحًا طارئًا ثانيًا قالت إنه يتضمن “تعزيزات إضافية تتجاوز التصحيح الطارئ الأصلي”. لم تشارك الشركة الأسترالية بعد تفاصيل حول طبيعة الأنشطة الخبيثة التي تستغل الثغرات.
وفقًا لشركة watchTowr لإدارة التعرض الاستباقي، يقوم المهاجمون بربط الثغرتين معًا لتجاوز المصادقة والحصول على تنفيذ التعليمات البرمجية عن بُعد على النسخ المتأثرة.
قالت الشركة الأمنية إنها اكتشفت أيضًا عدة طرق لتجاوز التصحيح وثغرة إضافية لتجاوز المصادقة، وكلها من المحتمل أن تكون قد تم تناولها كجزء من التصحيح الطارئ الثاني. وقد تواصلت Hacker News مع watchTowr للتعليق.
قالت Huntress إنها رصدت استغلالًا محدودًا في بيئتين للعملاء، حيث قام المهاجمون بتنفيذ أوامر مشفرة بتنسيق Base64 على الخادم المستهدف كجزء من نشاط ما بعد الاستغلال لتحديد حساب المستخدم ونظام التشغيل باستخدام أمر متسلسل “whoami & ver”.
تم نشر ملف .class جافا كجزء من الهجوم، وهو مستقل عن نظام التشغيل ويمكنه تشغيل الأوامر على أنظمة Linux أو Windows لتحديد هوية الجهاز والحصول على قائمة الدلائل للملفات المخزنة على الكمبيوتر. يتم كتابة البيانات إلى ملف يسمى “Udydn.out” في مسار “/data/content/” بالنسبة لدليل تثبيت البرنامج.
بمجرد اكتمال هذه الخطوة، يقوم ملف .class بحذف “Udydn.out” وملف “server.log” الخاص بالخادم وملف “/data/internal/derby.log”.
في حادثة أخرى تم تسجيلها في 27 أغسطس 2026، يُزعم أن المهاجمين استخدموا إصدارًا مختلفًا من ملف .class الذي يقوم بتشغيل نسخة معدلة من الأمر لالتقاط أيضًا قائمة العمليات الجارية: “whoami & ver & tasklist”.
يُنصح المنظمات التي لديها PaperCut NG وMF في بيئتها بإزالة التعرض العام على الفور وتطبيق التصحيح في أقرب وقت ممكن. كما يُوصى بتقييد وصول خادم تطبيق PaperCut الويب إلى عناوين IP موثوقة أو وضعه خلف VPN أو مسار إداري آخر خاضع للتحكم.
قال جيك نوت، رئيس استخبارات التهديدات في watchTowr، في بيان مشترك مع Hacker News: “PaperCut هو هدف رئيسي للمهاجمين من جميع الدوافع، حيث إنه ليس فقط نقطة دخول تواجه الإنترنت إلى بيئة الشركات، ولكنه أيضًا كنز من المعلومات الحساسة إذا كانت الوثائق المطبوعة يمكن تخزينها واستخراجها”.
“تحتاج المنظمات التي لديها نسخ معرضة للخطر من PaperCut والتي تواجه الإنترنت إلى إزالة الوصول العام إلى الإنترنت حيثما أمكن، وبدء البحث عن علامات الاختراق، مثل البحث عن أخطاء ‘Database error looking up cardID: VALUES CAST’ في سجلات الملفات.”
من المهم أن تتخذ المنظمات خطوات استباقية لحماية أنظمتها من هذه الثغرات. من خلال تطبيق التصحيحات المناسبة وتقييد الوصول، يمكن تقليل المخاطر بشكل كبير.
