Bypass Patch PaperCut: Rantai Scan2Fax ke RCE Pra-Autentikasi

Pada 9 Oktober, watchTowr mengungkap rantai baru bypass autentikasi dan Scan2Fax pada rilis sementara PaperCut. Rantai ini menunjukkan bagaimana bypass patch membuka kembali jalur pra-autentikasi menuju kelemahan eksekusi perintah pasca-autentikasi; perbaikan final PaperCut adalah 26.0.5/25.0.13.^{[1], [2]}

💡 Penjelasan Sederhana (ELI5)

Bayangkan sebuah gedung yang memeriksa kartu pengunjung di setiap ruangan, tetapi lobi hanya memeriksa ruangan pertama pada rute pengunjung. Jalan pintas melalui ruangan terbuka dapat mencapai meja terbatas tanpa pemeriksaan kartu lagi. Riwayat patch PaperCut harus menutup beberapa jalur seperti ini; perbaikan final melindungi formulir itu sendiri dan jalur berkas yang dipakai Scan-to-Fax.^[1]

Konsep Kunci & Istilah

Bypass patch: Jalur lain masih dapat mencapai operasi terlindungi setelah perbaikan hanya menutup rute yang pertama kali dilaporkan. Ini cacat baru pada batas keamanan, bukan bukti bahwa patch awal sama sekali tidak ada.^[1]
Rantai pra-autentikasi: Urutan ketika satu kelemahan melewati pemeriksaan login normal dan kelemahan lain menghasilkan dampak seperti eksekusi perintah. Setiap mata rantai memiliki mekanisme sendiri dan harus dijelaskan secara tepat.^[1]
CVE-2026-82077: Kelemahan Scan-to-Fax PaperCut adalah path traversal yang dapat memungkinkan administrator terautentikasi menjalankan perintah pada host. PaperCut memperbaikinya di 26.0.5 dan 25.0.13; watchTowr menunjukkan bagaimana bypass otorisasi terpisah pada rilis sementara dapat dirangkai dengannya.^{[2], [3], [4], [1]}
WT-2026-0143: ID watchTowr untuk bypass patch autentikasi yang diungkap pada 9 Oktober. Buletin publik PaperCut tidak memberi CVE terpisah. Perbaikannya disertakan dalam build darurat 26.0.4-PO 76530.^[1]
Status eksploitasi: Pada Agustus, PaperCut melaporkan eksploitasi di dunia nyata terhadap kelemahan PaperCut sebelumnya. Buletin September menyatakan tidak ada bukti bahwa masalah yang dibahas di sana, termasuk CVE-2026-82077, telah dieksploitasi. Riset 9 Oktober mendemonstrasikan rantai pada rilis sementara, tetapi tidak membuktikan penggunaan rantai baru ini terhadap pelanggan.^{[5], [2], [1]}

Pemetaan kerangka kerja

Referensi CWE untuk kelemahan yang dijelaskan dalam panduan ini: CWE-22 CWE-78

Status rilis: bedakan dua rantai PaperCut

Rilis PaperCut	Hal yang dipastikan sumber	Tindakan pertahanan
26.0.3	watchTowr mengaitkan rilis ini dengan rantai lama `CVE-2026-81578` + `CVE-2026-82078` yang terlihat dieksploitasi di dunia nyata.	Ikuti pemberitahuan mendesak PaperCut; ini rantai lama yang dieksploitasi, bukan riset Oktober.
26.0.4	watchTowr menemukan bypass patch terpisah saat menganalisis rilis ini.	Jangan anggap patch perantara sebagai status akhir; ikuti panduan rilis perbaikan dari vendor.
26.0.4-PO build 76508	watchTowr mereproduksi WT-2026-0143 + `CVE-2026-82077` pada rilis ini. Ini demonstrasi riset, bukan bukti eksploitasi terhadap pelanggan.	Perbarui ke rilis yang diperbaiki vendor; jangan anggap build ini terlindungi hanya karena memuat perbaikan darurat sebelumnya.
26.0.4-PO build 76530	Menurut watchTowr, WT-2026-0143 diperbaiki di sini; `CVE-2026-82077` diperbaiki pada rilis berikutnya.	Lanjutkan ke perbaikan final `CVE-2026-82077`; perbaikan bypass perantara ini saja belum cukup.
26.0.5 / 25.0.13 atau lebih baru	PaperCut mencantumkan versi ini sebagai perbaikan `CVE-2026-82077`.	Perbarui ke rilis yang saat ini didukung dan pastikan cabang serta build yang terpasang.
Rilis pemeliharaan 24.1.10	Pemberitahuan PaperCut bulan Agustus mencantumkan 24.1.10 sebagai rilis pemeliharaan yang menggantikan Emergency Patches 1–3.	Ini hanya mengonfirmasi perbaikan dalam pemberitahuan Agustus; status `CVE-2026-82077` tidak ditetapkan.
Cabang 24.x: `CVE-2026-82077`	Buletin PaperCut bulan September menyebut 26.0.5 dan 25.0.13 (25.x) sebagai versi yang diperbaiki; cabang 24.x tidak disebutkan.	Jangan menyimpulkan status CVE ini untuk 24.x; periksa panduan PaperCut terbaru untuk cabang tersebut.

Kronologi Insiden

2026-08-27

PaperCut menerbitkan pemberitahuan mendesak tentang eksploitasi PaperCut NG/MF. watchTowr kemudian mengaitkan rantai sebelumnya dengan CVE-2026-81578 dan CVE-2026-82078; rantai itu berbeda dari rantai baru WT-2026-0143 plus CVE-2026-82077.^{[5], [1]}

2026-08-28

PaperCut merilis 26.0.4, lalu build darurat 26.0.4-PO 76508. watchTowr melaporkan menemukan beberapa bypass berurutan saat menganalisis patch tersebut.^{[1], [5]}

2026-08-31 hingga 2026-09-10

watchTowr melaporkan WT-2026-0143 dan CVE-2026-82077 kepada PaperCut. PaperCut memperbaiki WT-2026-0143 di 26.0.4-PO 76530 pada 1 September dan CVE-2026-82077 di 26.0.5/25.0.13 pada 10 September.^{[1], [2]}

2026-10-09

watchTowr menerbitkan penjelasan teknis rantai pada rilis sementara. Pengungkapan tersebut bukan bukti bahwa rantai baru ini digunakan terhadap pelanggan.^{[1], [2]}

Alur Serangan Langkah demi Langkah

Langkah 1

Pemeriksaan izin di tingkat rute melewatkan tujuan bertingkat

watchTowr menjelaskan perutean Tapestry lama PaperCut, ketika permintaan dapat menyebut halaman akar lalu halaman atau formulir berikutnya. Pemeriksaan otorisasi sebelumnya tidak selalu menerapkan batas izin formulir tujuan itu sendiri.^[1]

Langkah 2

Bypass patch mencapai formulir terlindungi

Rantai pada 26.0.4-PO 76508 menggunakan WT-2026-0143 untuk mencapai fungsi pengaturan melalui halaman yang validasinya tidak memanggil pemeriksaan formulir tujuan. Ini menjelaskan batas otorisasi tanpa mereproduksi rute atau permintaan.^[1]

Langkah 3

Scan-to-Fax memiliki kelemahan jalur-ke-perintah yang terpisah

PaperCut mengklasifikasikan CVE-2026-82077 sebagai path traversal pada pengaturan Scan-to-Fax yang memungkinkan administrator terautentikasi menjalankan perintah di host. watchTowr menunjukkan bahwa bypass otorisasi pada rilis sementara dapat menyediakan konteks autentikasi yang hilang.^{[1], [2]}

Langkah 4

Rilis final menutup rantai yang diungkap

PaperCut memperbaiki WT-2026-0143 di build darurat 76530 dan CVE-2026-82077 di 26.0.5/25.0.13. Pengungkapan Oktober tidak berarti rilis final masih rentan atau rantai baru dieksploitasi di dunia nyata.^{[1], [2]}

Kode Sumber: Rentan vs Aman

Contoh umum Java ini menunjukkan dua kontrol terpisah: otorisasi untuk operasi berhak istimewa itu sendiri, lalu pemilihan program dari pemetaan konektor yang dikelola server dan pemeriksaan jalur kanonisnya. Ini bukan kode PaperCut atau patch vendor. Kode produksi juga harus memvalidasi argumen, membatasi hak proses, dan memakai versi PaperCut yang telah diperbaiki; pemeriksaan jalur saja tidak memperbaiki bypass otorisasi pada perutean halaman.

IMPLEMENTASI RENTAN

Path executable = faxDirectory.resolve(clientConnectorName).normalize();
// Pemeriksaan pada tingkat rute tidak menggantikan otorisasi untuk operasi ini.
new ProcessBuilder(executable.toString(), faxArguments).start();

PERBAIKAN AMAN & KUAT

if (!principal.canAdministerFax()) {
    throw new SecurityException("Fax administration is required");
}
Path root = faxDirectory.toRealPath();
Path executable = approvedConnectors.get(connectorId); // Server-owned allowlist.
if (executable == null) {
    throw new IllegalArgumentException("Unknown connector");
}
Path resolved = executable.toRealPath();
if (!resolved.startsWith(root) || !Files.isExecutable(resolved)) {
    throw new SecurityException("Connector is outside the approved directory");
}
new ProcessBuilder(resolved.toString(), validatedArguments).start();

Daftar Periksa Penguatan Sistem Rekayasa

✓Perbarui PaperCut NG/MF ke 26.0.5 atau lebih baru, atau ke 25.0.13 atau lebih baru pada cabang 25.x. Jangan anggap build sementara 76508 sebagai perbaikan final; buletin keamanan PaperCut menyebut rilis final yang sudah diperbaiki.^{[2], [4]}
✓Jika rilis terdampak atau sementara pernah terekspos, ikuti buletin keamanan dan panduan respons insiden PaperCut terkini; jangan menyimpulkan bahwa riset Oktober membuktikan kompromi atau eksploitasi aktif WT-2026-0143/CVE-2026-82077.^[2]
✓Otorisasi setiap halaman dan formulir tujuan pada batas operasinya. Tambahkan pengujian untuk perutean langsung dan bertingkat agar halaman akar yang diizinkan tidak dapat memanggil tujuan terlindungi tanpa pemeriksaan izinnya sendiri.^[1]
✓Jangan membentuk jalur program yang dapat dieksekusi dari nama konektor yang dikirim dalam permintaan. Petakan ID stabil ke program yang dikonfigurasi server, kanonisasi jalurnya, lalu tolak program di luar direktori yang disetujui.^{[1], [2]}
✓Perlakukan perbaikan bypass autentikasi dan eksekusi perintah sebagai kontrol terpisah dalam tinjauan kode dan catatan rilis; uji keduanya setelah perubahan framework atau perutean.^[1]
✓Saat meninjau pemberitahuan, bedakan rantai CVE-2026-81578/CVE-2026-82078 yang sebelumnya dieksploitasi dari riset bypass patch berikutnya. Kaitkan pengamatan eksploitasi, demonstrasi peneliti, dan klaim versi perbaikan dengan sumber masing-masing.^{[1], [2]}