FlawOpen

flawopen.com/Incidents/papercut-patch-bypass-scan2fax-chain-october-2026

● PaperCut NG/MF · CVE-2026-82077 · 2026-10-09 · CVSS 7.3 · Hoch
Sicherheitsforschung · FlawOpen

PaperCut-Patch-Umgehung: Scan2Fax bis zu Pre-Auth-RCE

Am 9. Oktober veröffentlichte watchTowr eine neue Kette aus Authentifizierungsumgehung und Scan2Fax gegen eine PaperCut-Zwischenversion. Sie zeigt, wie Patch-Umgehungen einen Pre-Auth-Pfad zu einer Post-Auth-Befehlsausführung wiederherstellten; PaperCuts endgültige Korrekturen sind 26.0.5/25.0.13.[1], [2]

💡 Einfache Erklärung (ELI5)

Stellen Sie sich ein Gebäude vor, in dem jeder Raum den Besucherausweis prüft, die Lobby aber nur den ersten Raum auf dem Weg kontrolliert. Ein Umweg durch einen offenen Raum kann dann zu einem geschützten Schreibtisch führen, ohne dass dort erneut geprüft wird. PaperCuts Patch-Verlauf musste mehrere solcher Wege schließen; die endgültige Korrektur schützt die Formulare selbst und den von Scan-to-Fax verwendeten Dateipfad.[1]

Kernkonzepte & Begriffe

Patch-Umgehung
Ein anderer Pfad erreicht dieselbe geschützte Operation, nachdem ein Fix nur die ursprünglich gemeldete Route blockiert. Das ist ein neuer Fehler an der Grenze, kein Beleg dafür, dass der ursprüngliche Patch vollständig fehlte.[1]
Pre-Auth-Kette
Eine Abfolge, bei der ein Fehler die normale Anmeldung umgeht und ein zweiter eine Auswirkung wie Befehlsausführung ermöglicht. Jedes Glied hat eigene Mechanismen und muss präzise beschrieben werden.[1]
CVE-2026-82077
PaperCuts Scan-to-Fax-Schwachstelle ist ein Path-Traversal-Fehler, der einem authentifizierten Administrator Befehlsausführung auf dem Host ermöglichen kann. PaperCut korrigiert ihn in 26.0.5 und 25.0.13; watchTowr zeigte, wie eine separate Autorisierungsumgehung in einer Zwischenversion damit verkettet werden konnte.[2], [3], [4], [1]
WT-2026-0143
watchTowr-Kennung für eine am 9. Oktober veröffentlichte Umgehung des Authentifizierungs-Patches. PaperCuts öffentliches Bulletin weist keine separate CVE zu. Behoben wurde sie in der Notfallversion 26.0.4-PO Build 76530.[1]
Ausnutzungsstatus
PaperCut meldete im August Ausnutzung älterer PaperCut-Fehler in freier Wildbahn. Das September-Bulletin sagt, es gebe keine Hinweise auf Ausnutzung der dort behandelten Probleme, einschließlich CVE-2026-82077. Die Forschung vom 9. Oktober demonstriert die Kette auf einer Zwischenversion, belegt aber keine Nutzung dieser neueren Kette gegen Kunden.[5], [2], [1]

Framework-Zuordnungen

  • CWE-Referenz für die in diesem Leitfaden beschriebene Schwachstelle: CWE-22 CWE-78

Versionsstatus: die beiden PaperCut-Ketten unterscheiden

PaperCut-VersionWas die Quellen belegenMaßnahme für Verteidiger
26.0.3watchTowr ordnet dieser Version die frühere, in freier Wildbahn beobachtete Kette CVE-2026-81578 + CVE-2026-82078 zu.Beachten Sie den dringenden PaperCut-Hinweis; dies ist die frühere ausgenutzte Kette, nicht die Forschung vom Oktober.
26.0.4watchTowr fand bei der Analyse dieser Version separate Patch-Umgehungen.Behandeln Sie einen Zwischenpatch nicht als endgültigen Stand; folgen Sie den vom Hersteller genannten behobenen Versionen.
26.0.4-PO build 76508watchTowr reproduzierte hier WT-2026-0143 + CVE-2026-82077. Das ist eine Forschungsdemonstration, kein Nachweis eines Angriffs auf Kunden.Aktualisieren Sie auf eine vom Hersteller behobene Version; leiten Sie Schutz nicht daraus ab, dass frühere Notfallkorrekturen enthalten sind.
26.0.4-PO build 76530Laut watchTowr wurde WT-2026-0143 hier behoben; CVE-2026-82077 folgte erst in einer späteren Version.Aktualisieren Sie bis zur endgültigen Behebung von CVE-2026-82077; dieser Zwischenpatch allein genügt nicht.
26.0.5 / 25.0.13 oder neuerPaperCut nennt diese Versionen als Behebung für CVE-2026-82077.Aktualisieren Sie auf die aktuelle unterstützte Version und prüfen Sie Produktzweig und Build.
Wartungsversion 24.1.10PaperCuts August-Hinweis führt 24.1.10 als Wartungsversion auf, die die Emergency Patches 1–3 ersetzt.Das bestätigt nur die August-Korrekturen; der Status von CVE-2026-82077 ist damit nicht belegt.
24.x-Zweig: CVE-2026-82077PaperCuts September-Hinweis nennt 26.0.5 und 25.0.13 (25.x) als behoben; der 24.x-Zweig wird nicht angegeben.Leiten Sie den Status dieser CVE für 24.x nicht ab; prüfen Sie PaperCuts aktuelle Hinweise für diesen Zweig.

Vorfall-Zeitstrahl

2026-08-27

PaperCut veröffentlichte einen dringenden Hinweis zur Ausnutzung von PaperCut NG/MF. watchTowr ordnete die frühere Kette später CVE-2026-81578 und CVE-2026-82078 zu; sie ist von der neuen Kette WT-2026-0143 plus CVE-2026-82077 getrennt.[5], [1]

2026-08-28

PaperCut veröffentlichte 26.0.4 und danach den Notfall-Build 26.0.4-PO 76508. watchTowr berichtet, beim Analysieren dieser Patches mehrere Umgehungen gefunden zu haben.[1], [5]

2026-08-31 bis 2026-09-10

watchTowr meldete WT-2026-0143 und CVE-2026-82077 an PaperCut. PaperCut behob WT-2026-0143 am 1. September in 26.0.4-PO 76530 und CVE-2026-82077 am 10. September in 26.0.5/25.0.13.[1], [2]

2026-10-09

watchTowr veröffentlichte die technische Beschreibung der Kette gegen die Zwischenversion. Die Offenlegung belegt nicht, dass diese neuere Kette gegen Kunden eingesetzt wurde.[1], [2]

Schritt-für-Schritt Angriffsablauf

Schritt 1

Die Berechtigungsprüfung der Route übersieht ein verschachteltes Ziel

watchTowr beschreibt PaperCuts älteres Tapestry-Routing, bei dem eine Anfrage eine Stammseite und danach eine weitere Seite oder ein Formular nennen kann. Die vorherige Autorisierungsprüfung setzte die Berechtigung des Zielformulars nicht konsequent durch.[1]

Schritt 2

Eine Patch-Umgehung erreicht ein geschütztes Formular

Die Kette in 26.0.4-PO 76508 verwendete WT-2026-0143, um Konfigurationsfunktionen über eine Seite zu erreichen, deren Validierung die Prüfung des Zielformulars nicht aufrief. Das beschreibt die Autorisierungsgrenze, ohne Route oder Anfragen zu reproduzieren.[1]

Schritt 3

Scan-to-Fax hat einen separaten Pfad-zu-Befehl-Fehler

PaperCut klassifiziert CVE-2026-82077 als Path Traversal in Scan-to-Fax-Einstellungen, wodurch ein authentifizierter Administrator Befehle auf dem Host ausführen kann. watchTowr zeigte, dass die Zwischenversions-Umgehung den fehlenden authentifizierten Kontext liefern konnte.[1], [2]

Schritt 4

Endgültige Versionen schließen die offengelegte Kette

PaperCut behob WT-2026-0143 im Notfall-Build 76530 und CVE-2026-82077 in 26.0.5/25.0.13. Die Offenlegung im Oktober bedeutet weder, dass diese Endversionen weiterhin verwundbar sind, noch dass die neue Kette in freier Wildbahn ausgenutzt wurde.[1], [2]

Quellcode: Verwundbar vs. Sicher

Dieses allgemeine Java-Beispiel zeigt zwei unabhängige Kontrollen: die privilegierte Operation selbst autorisieren und anschließend eine ausführbare Datei aus einer serverseitig verwalteten Connector-Zuordnung wählen sowie ihren kanonischen Pfad prüfen. Es ist weder PaperCut-Code noch der Hersteller-Patch. Produktivcode muss zusätzlich Argumente validieren, Prozessprivilegien begrenzen und die korrigierte PaperCut-Version verwenden; reine Pfadprüfungen beheben keine Autorisierungsumgehung beim Seiten-Routing.

VERWUNDBARE IMPLEMENTIERUNG
Path executable = faxDirectory.resolve(clientConnectorName).normalize();
// Eine Prüfung auf Routenebene ersetzt nicht die Autorisierung dieses Vorgangs.
new ProcessBuilder(executable.toString(), faxArguments).start();
GEHÄRTETER SICHERHEITS-PATCH
if (!principal.canAdministerFax()) {
    throw new SecurityException("Fax administration is required");
}
Path root = faxDirectory.toRealPath();
Path executable = approvedConnectors.get(connectorId); // Server-owned allowlist.
if (executable == null) {
    throw new IllegalArgumentException("Unknown connector");
}
Path resolved = executable.toRealPath();
if (!resolved.startsWith(root) || !Files.isExecutable(resolved)) {
    throw new SecurityException("Connector is outside the approved directory");
}
new ProcessBuilder(resolved.toString(), validatedArguments).start();

Checkliste für Engineering & Systemsicherheit

Quellen