FlawOpen

flawopen.com/Incidents/papercut-patch-bypass-scan2fax-chain-october-2026

● PaperCut NG/MF · CVE-2026-82077 · 2026-10-09 · CVSS 7.3 · Alta
Pesquisa · FlawOpen

Desvio de patch no PaperCut: Scan2Fax a RCE pré-autenticação

Em 9 de outubro, a watchTowr divulgou uma nova cadeia de desvio de autenticação e Scan2Fax contra uma versão intermediária do PaperCut. Ela mostra como desvios de patch reabriram um caminho pré-autenticação até uma falha pós-autenticação de execução de comandos; as correções finais do PaperCut são 26.0.5/25.0.13.[1], [2]

💡 Explicação em Linguagem Simples (ELI5)

Imagine um prédio em que cada sala verifica o crachá do visitante, mas a recepção confere apenas a primeira sala do trajeto. Um atalho por uma sala aberta pode chegar a uma mesa restrita sem que ela confira o crachá de novo. O histórico de correções do PaperCut precisou fechar mais de um caminho desse tipo; a correção final protege os próprios formulários e o caminho de arquivos usado pelo Scan-to-Fax.[1]

Conceitos Centrais e Termos

Desvio de patch
Um caminho diferente alcança a mesma operação protegida depois que uma correção bloqueia somente a rota originalmente relatada. É um novo defeito na fronteira, não prova de que a correção original estava totalmente ausente.[1]
Cadeia pré-autenticação
Sequência em que uma falha evita a verificação normal de login e outra produz um impacto, como execução de comandos. Cada elo tem mecânica própria e deve ser descrito com precisão.[1]
CVE-2026-82077
A falha do Scan-to-Fax no PaperCut é um problema de path traversal que pode levar à execução de comandos por um administrador autenticado. O PaperCut corrige nas versões 26.0.5 e 25.0.13; a watchTowr demonstrou como um desvio de autorização separado em uma versão intermediária podia ser encadeado a ela.[2], [3], [4], [1]
WT-2026-0143
Identificador da watchTowr para um desvio de patch de autenticação divulgado em 9 de outubro. O boletim público do PaperCut não atribui um CVE separado. A falha foi corrigida na versão emergencial 26.0.4-PO build 76530.[1]
Status de exploração
Em agosto, o PaperCut informou exploração de falhas anteriores do PaperCut no mundo real. O boletim de setembro diz não haver evidência de exploração dos problemas tratados ali, incluindo CVE-2026-82077. A pesquisa de 9 de outubro demonstra a cadeia em uma versão intermediária, mas não comprova uso dessa cadeia mais recente contra clientes.[5], [2], [1]

Mapeamentos de frameworks

  • Referência CWE para a fraqueza descrita neste guia: CWE-22 CWE-78

Estado das versões: diferencie as duas cadeias do PaperCut

Versão do PaperCutO que as fontes confirmamAção para a defesa
26.0.3A watchTowr identifica esta versão na cadeia anterior, explorada no mundo real, com CVE-2026-81578 + CVE-2026-82078.Siga o aviso urgente da PaperCut; esta é a cadeia explorada anterior, não a pesquisa de outubro.
26.0.4A watchTowr encontrou bypasses de correções distintos ao analisar esta versão.Não considere uma correção intermediária como estado final; siga as versões corrigidas indicadas pelo fornecedor.
26.0.4-PO build 76508A watchTowr reproduziu WT-2026-0143 + CVE-2026-82077 nesta versão. É uma demonstração de pesquisa, não prova de exploração contra clientes.Atualize para uma versão corrigida pelo fornecedor; não presuma proteção porque esta versão contém correções emergenciais anteriores.
26.0.4-PO build 76530A watchTowr informa que esta versão corrigiu WT-2026-0143; CVE-2026-82077 foi corrigida em versão posterior.Prossiga até a correção final de CVE-2026-82077; corrigir apenas este bypass intermediário não basta.
26.0.5 / 25.0.13 ou posteriorA PaperCut indica estas versões como correções de CVE-2026-82077.Atualize para a versão atualmente suportada e confirme a ramificação e a compilação instaladas.
Versão de manutenção 24.1.10O aviso de agosto da PaperCut lista a 24.1.10 como versão de manutenção que substitui os Emergency Patches 1–3.Isso confirma apenas as correções de agosto; não estabelece o estado de CVE-2026-82077.
Ramificação 24.x: CVE-2026-82077O boletim de setembro da PaperCut indica 26.0.5 e 25.0.13 (25.x) como corrigidas; não especifica a ramificação 24.x.Não deduza o estado dessa CVE em 24.x; consulte a orientação atual da PaperCut para a ramificação.

Linha do Tempo do Incidente

2026-08-27

O PaperCut publicou um aviso urgente sobre exploração do PaperCut NG/MF. Depois, a watchTowr relacionou a cadeia anterior às CVE-2026-81578 e CVE-2026-82078; ela é distinta da nova cadeia WT-2026-0143 mais CVE-2026-82077.[5], [1]

2026-08-28

O PaperCut lançou a versão 26.0.4 e, depois, a versão emergencial 26.0.4-PO 76508. A watchTowr relata ter encontrado desvios sucessivos ao analisar essas correções.[1], [5]

2026-08-31 a 2026-09-10

A watchTowr reportou WT-2026-0143 e CVE-2026-82077 ao PaperCut. O PaperCut corrigiu WT-2026-0143 na versão 26.0.4-PO 76530 em 1º de setembro e corrigiu CVE-2026-82077 em 26.0.5/25.0.13 em 10 de setembro.[1], [2]

2026-10-09

A watchTowr publicou o relato técnico da cadeia na versão intermediária. A divulgação não comprova que essa cadeia mais recente tenha sido usada contra clientes.[1], [2]

Fluxo de Ataque Passo a Paso

Passo 1

A verificação de permissão da rota não protege o destino aninhado

A watchTowr descreve o roteamento Tapestry legado do PaperCut, em que uma solicitação pode indicar uma página raiz e outra página/formulário em seguida. A verificação anterior não impunha de modo consistente a permissão própria do formulário de destino.[1]

Passo 2

Um desvio de patch alcança um formulário protegido

A cadeia da versão 26.0.4-PO 76508 usou WT-2026-0143 para alcançar funcionalidade de configuração por uma página cuja validação não acionava a verificação do formulário de destino. Isso descreve a fronteira de autorização, sem reproduzir a rota nem as solicitações.[1]

Passo 3

O Scan-to-Fax tem uma falha separada de caminho para comando

O PaperCut classifica CVE-2026-82077 como path traversal nas configurações do Scan-to-Fax, permitindo que um administrador autenticado execute comandos no host. A watchTowr mostrou que o desvio de autorização intermediário podia fornecer o contexto autenticado que faltava.[1], [2]

Passo 4

As versões finais fecham a cadeia divulgada

O PaperCut corrigiu WT-2026-0143 na versão emergencial 76530 e CVE-2026-82077 em 26.0.5/25.0.13. A divulgação de outubro não significa que essas versões finais continuem vulneráveis nem que a nova cadeia tenha sido explorada no mundo real.[1], [2]

Código-Fonte: Vulnerável vs. Seguro

Este exemplo genérico em Java demonstra dois controles independentes: autorizar a própria operação privilegiada e selecionar um executável de um mapa de conectores controlado pelo servidor, verificando seu caminho canônico. Não é código do PaperCut nem o patch do fornecedor. Código de produção também deve validar argumentos, restringir privilégios do processo e usar a versão corrigida do PaperCut; verificar caminhos, sozinho, não corrige um desvio de autorização no roteamento de páginas.

IMPLEMENTAÇÃO VULNERÁVEL
Path executable = faxDirectory.resolve(clientConnectorName).normalize();
// Uma verificação no nível da rota não substitui a autorização desta operação.
new ProcessBuilder(executable.toString(), faxArguments).start();
PATCH SEGURO E ROBUSTO
if (!principal.canAdministerFax()) {
    throw new SecurityException("Fax administration is required");
}
Path root = faxDirectory.toRealPath();
Path executable = approvedConnectors.get(connectorId); // Server-owned allowlist.
if (executable == null) {
    throw new IllegalArgumentException("Unknown connector");
}
Path resolved = executable.toRealPath();
if (!resolved.startsWith(root) || !Files.isExecutable(resolved)) {
    throw new SecurityException("Connector is outside the approved directory");
}
new ProcessBuilder(resolved.toString(), validatedArguments).start();

Lista de Verificação de Segurança para Engenharia

Fontes