概要
印刷管理ソフトウェアPaperCutは、同社製品NGおよびMFの全バージョンに影響する未修正の脆弱性が、実際の攻撃で悪用されていると警告した。PaperCutは「顧客環境での侵害インシデントを確認しており、最優先事項として対応している」との声明を発表している。CVE番号やCVSSスコア、脆弱性の技術的な詳細(悪用手法など)は本稿執筆時点でまだ公表されておらず、同社は情報を限定的にしか開示していない。インターネットに公開されたサーバー向けに緊急パッチを配布する一方、パッチ適用が完了していない環境については、ファイアウォールやネットワークアクセス制御を用いてWebインターフェースへのアクセスを信頼できるIPアドレスのみに制限するよう強く推奨している。
侵害の兆候と推奨される対策
PaperCutは管理者に対し、環境が既に侵害されていないかを確認するための具体的な痕跡(IOC)を公開した。正規プロセスであるpc-app.exeからの不審な挙動、server.logファイルの改ざん・削除・欠落、そして「ERROR No suitable driver found for jdbc:no:x」や「ERROR DatabaseUtils - Database error looking up cardID」といった特定のデータベースエラーが、侵害の兆候として挙げられている。これらのログやエラーが確認された組織は、侵害を前提とした調査と対応を検討する必要がある。現時点で攻撃者の身元、侵入後の具体的な活動内容、データ窃取の有無や範囲については公表されておらず、全ての環境に対する恒久的なパッチの提供時期も明らかにされていない。
過去の教訓と今後の見通し
PaperCutにとって、深刻な脆弱性が実際の攻撃に悪用される事態はこれが初めてではない。2023年4月にはCVE-2023-27350が悪用され、Clop、LockBit、Bl00dyといったランサムウェア集団やイラン国家支援とされるハッキンググループが、企業ネットワークへの初期侵入手段としてこの脆弱性を利用したことが確認されている。印刷管理基盤は多くの企業や大学で広く導入されており、PaperCutは今回の脆弱性の再現にあたり、ある大学顧客のセキュリティチームおよびデジタルフォレンジック・インシデント対応(DFIR)チームから提供された情報を活用したとしており、同環境で何らかのインシデント対応が行われていたことがうかがえる。今回のゼロデイも同様に大規模な悪用に発展する可能性があり、企業のシステム管理者は緊急パッチの適用状況を確認するとともに、公開されたIOCに基づく侵害調査を速やかに実施することが求められる。