Javas Corner - Pelaku kejahatan memanfaatkan celah keamanan yang baru saja ditambal di PaperCut NG dan MF untuk mengeksekusi kode sembarangan pada instance yang rentan, seiring perusahaan merilis perbaikan darurat baru dengan penguatan tambahan. "Kerentanan ini memberi penyerang yang tidak terautentikasi kendali jarak jauh atas konfigurasi tepercaya PaperCut, yang dapat digunakan untuk mengeksekusi kode Java sembarangan di dalam proses aplikasi," kata peneliti Huntress, John Hammond dan Andrew Brandt.
Secara spesifik, penyerang dapat memanfaatkan permintaan yang tidak terautentikasi untuk melakukan perubahan pada konfigurasi server dan pada akhirnya mencapai eksekusi kode. Huntress menjelaskan bahwa pada versi PaperCut yang belum diperbarui, permintaan yang dirancang khusus dapat merujuk ke satu halaman yang ditampilkan untuk respons, dan halaman lain yang memiliki komponen atau tindakan yang sedang dieksekusi. Pemeriksaan otorisasi PaperCut dapat mempercayai halaman yang ditampilkan dan mengabaikan izin yang dibutuhkan oleh komponen di baliknya.
PaperCut kemudian secara terbuka mengungkapkan dua kekurangan. CVE-2026-82078 dengan skor CVSS 9.4 merupakan kerentanan pemuatan kelas dinamis yang tidak aman di utilitas koneksi basis data PaperCut MF dan NG. Aplikasi ini membuat instance kelas driver basis data berdasarkan nama driver yang dapat dikonfigurasi tanpa memvalidasinya terhadap daftar driver yang disetujui. CVE-2026-81578 dengan skor 8.8 adalah kerentanan kontrol akses yang tidak tepat pada antarmuka manajemen web PaperCut.
Menurut perusahaan keamanan watchTowr, penyerang menggabungkan kedua kerentanan untuk melewati autentikasi dan mendapatkan eksekusi kode jarak jauh pada instance yang terdampak. "CVE-2026-81578 memungkinkan Anda melewati autentikasi, dan dari sana Anda dapat mengedit file konfigurasi untuk mengeksploitasi CVE-2026-82078 dan mendapatkan Remote Code Execution," kata Jake Knott, kepala intelijen ancaman di watchTowr.
watchTowr juga menemukan beberapa bypass patch dan kerentanan bypass autentikasi tambahan. Perusahaan telah mengamati eksploitasi terbatas pada dua lingkungan pelanggan, dengan penyerang menjalankan perintah terenkripsi Base64 pada server target untuk menentukan akun pengguna dan sistem operasi menggunakan perintah berantai "whoami & ver". Serangan juga menggunakan file Java .class yang dapat berjalan di sistem Linux atau Windows untuk sidik jari mesin dan mendapatkan daftar direktori file yang disimpan di komputer.
Organisasi yang memiliki PaperCut NG dan MF disarankan untuk segera menghapus paparan publik dan menerapkan patch sesegera mungkin. Disarankan juga untuk membatasi akses web PaperCut Application Server ke alamat IP tepercaya atau menempatkannya di balik VPN.
Tags:
#PaperCut #KeamananSiber #RCE #CelahKeamanan #CyberSecurity #HackerNews #Vulnerability #PatchDarurat #EksekusiKode #SeranganDuniaMaya
