PaperCut: цепочка уязвимостей позволяет удалённо выполнять код без аутентификации

Исследователи watchTowr Labs обнаружили цепочку уязвимостей в ПО для управления печатью PaperCut.

Первоначальная уязвимость (CVE-2026-81578) позволяла выполнять команды с аутентификацией, но уже эксплуатировалась злоумышленниками. После выпуска первого патча PaperCut выпустила исправление для CVE-2026-82078 (Post-Auth RCE), но исследователи нашли способ обойти его. Затем они обнаружили новую уязвимость (CVE-2026-82077), которая в сочетании с обходом предыдущего исправления позволила добиться удалённого выполнения кода без аутентификации.

ⓘ Что такое PaperCut
PaperCut — это программное обеспечение для управления печатью, которое помогает организациям отслеживать, контролировать и защищать печать в своих сетях. Оно широко используется в учебных заведениях, медицинских учреждениях, государственных органах и коммерческих компаниях.

public void sendFaxJob(ScanFaxJob job) throws RuntimeException, InterruptedException { // [1]
    logger.debug("Sending fax job {} to provider {}", job.getFaxJob(), job.getProviderConnector());
    FaxJob faxJob = job.getFaxJob();

    String jobStr;
    try {
       jobStr = this.convertFaxJobToJSON(faxJob);
    } catch (IOException var12) {
       logger.error("Unable to convert fax job {} to JSON file", job.getFaxJob());
       throw new IllegalArgumentException("Unable to convert fax job to JSON file");
    }

    Path jobFile = this.createStringJsonFile(jobStr, "papercut-scan-fax-job");
…

Источник: watchTowr Labs
@cbunit

Атаки на госучреждения РФ через флешки выросли на 25% за полгода

▤ Разбор

В первой половине 2026 года количество кибератак на российские госучреждения с использованием съёмных носителей выросло на 25%. Организации усилили веб-фильтрацию, что привело к снижению инцидентов с массовыми угрозами. Злоумышленники переключаются на локальные векторы атак для обхода сетевых средств защиты.

За тот же период на 82% увеличилось число атак с применением ПО для кражи паролей, на 11% — шпионских программ, на 14% — эксплойтов. Программы-шифровальщики остаются на стабильно высоком уровне.

Эксперты прогнозируют размывание государственного периметра из-за зависимости от поставщиков и разработчиков ПО. Компрометация подрядчиков станет более выгодным способом обхода защиты. Доверенное ПО, включая обновления и репозитории, превратится в основное поле для атак. Ожидается рост кибершпионажа и атак, направленных на нарушение процессов, а не только на кражу данных.

ⓘ Съёмные носители как вектор атак
Съёмные носители, такие как USB-флешки, используются злоумышленниками для доставки вредоносного ПО в корпоративные сети. Организации усиливают защиту от веб-угроз, что вынуждает атакующих искать локальные векторы проникновения, обходящие сетевые средства защиты.

Источник: Kaspersky
@cbunit

#дайджест

Главное к исходу пятницы (09.10):

🔸 Уязвимости AhsayCBS эксплуатируются для RCE и установки майнеров

🔸 Wordfence: 501 уязвимость в плагинах и темах WordPress за неделю

🔸 Ядро Linux получило патч от множества уязвимостей

🔸 Хакеры заработали $1,26 млн на Pwn2Own Ireland за 98 0-day уязвимостей

ChromeOS получила обновление безопасности с исправлениями уязвимостей в браузере и ОС

Google выпустила обновление стабильного канала ChromeOS до версии 16805.33.0. Обновление включает исправления безопасности для браузера Chrome и операционной системы.

В список исправлений вошли уязвимости типа use-after-free, type confusion, buffer overflow и out-of-bounds write в различных компонентах браузера, включая V8, Views, AdFilter и PDFium. Также устранены проблемы с безопасностью в драйвере mali_kbase и в системе StartArcVm, которые могли привести к повреждению памяти или ослаблению песочницы.

Источник: Chrome Releases
@cbunit

Федеральные агентства США проваливают Zero Trust из-за устаревших идентификационных данных

▤ Разбор

Федеральные агентства США отстают от графика внедрения архитектуры Zero Trust. Исполнительный указ 14028 от мая 2021 года предписал переход к ZTA, а директива OMB M-22-09 от сентября 2022 года установила срок достижения целевых показателей зрелости к концу 2024 финансового года. Большинство ведомств не справились с этой задачей.

Проблема заключается не в технологиях, а в устаревшей инфраструктуре управления идентификационными данными. Существующие фреймворки предполагают наличие чистой инфраструктуры, тогда как в федеральных агентствах она накопила сложности за годы организационных изменений, включая устаревшие назначения ролей и привилегированный доступ, выданный на проекты и не отозванный. Миграция в облако AWS GovCloud не устраняет эту сложность, а переносит её, требуя распутывания под действующими требованиями ATO без сбоев в работе критически важных систем.

Агентства сталкиваются с тремя основными трудностями: ошибочное восприятие ZTA как замены периметра вместо трансформации идентификационных данных, недооценка нагрузки по устранению выявленных недостатков (POA&M) во время миграции и отсутствие управления данными наряду с идентификационными данными. Успешные агентства рассматривают документацию по безопасности как инструмент управления зрелостью ZTA и обеспечивают кросс-функциональное владение, привлекая к процессу команды безопасности, инженерии и архитектуры.

ⓘ Что такое Zero Trust Architecture
Zero Trust Architecture (ZTA) — это модель безопасности, основанная на принципе «никому не доверяй, всегда проверяй». Она предполагает, что доверие не предоставляется ни одному пользователю или устройству по умолчанию, независимо от их местоположения в сети. Доступ к ресурсам предоставляется только после строгой аутентификации и авторизации, а также постоянной проверки соответствия политикам безопасности.

Источник: ISACA
@cbunit

Microsoft тестирует постквантовую аутентификацию для TLS

▤ Разбор

Microsoft запустила пилотную программу по тестированию постквантовой криптографии (PQC) для протокола TLS. Программа помогает центрам сертификации оценить готовность инфраструктуры к новым алгоритмам шифрования.

Организациям необходимо начать подготовку к переходу на постквантовую аутентификацию. Это включает инвентаризацию зависимостей от сертификатов, оценку планов поставщиков и создание тестовых сред. Раннее тестирование позволит выявить проблемы совместимости до массового внедрения новых стандартов.

ⓘ Что такое ML-DSA-87
ML-DSA-87 — это квантово-устойчивый алгоритм цифровой подписи на основе решёток (Module-Lattice-Based Digital Signal Algorithm), который используется в пилотной программе Microsoft для тестирования постквантовой криптографии в TLS. Он призван заменить существующие алгоритмы, уязвимые для квантовых компьютеров.

Источник: Microsoft Security
@cbunit

CISA добавила уязвимости ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts и BIND в каталог KEV

Агентство кибербезопасности США (CISA) внесло пять уязвимостей в каталог эксплуатируемых уязвимостей (KEV).

Перечень включает уязвимости в ProFTPD (CVE-2015-3306, CVSS 10.0), ONLYOFFICE Docs (CVE-2021-3199, CVSS 9.8), Strapi (CVE-2023-22894, CVSS 7.2), Apache Struts (CVE-2016-3081, CVSS 8.1) и ISC BIND (CVE-2015-5477, CVSS 7.5).

Эти уязвимости связаны с действиями китайских хакерских группировок, которые использовали их для получения доступа к сетям и кражи данных. Атаки включали сканирование, межсайтовый скриптинг и подбор паролей к серверам Microsoft Exchange.

ⓘ Что такое ProFTPD
ProFTPD — это популярный FTP-сервер с открытым исходным кодом. Он позволяет удалённо передавать файлы между компьютерами. Уязвимость CVE-2015-3306 в ProFTPD позволяла злоумышленникам читать или изменять файлы на сервере.

Источник: Security Affairs
@cbunit

#дайджест

Главное за неделю (04.10–10.10):

🔸 Коммутаторы Cisco Nexus 3000/9000 уязвимы к RCE через MPLS OAM

🔸 Аккаунт Microsoft в X взломали для мошенничества с криптовалютой Clippy

🔸 Kaspersky NGFW 1.3 показал высокую производительность и защиту в тестах К2 Кибербезопасность

🔸 GitHub Copilot CLI раскрывает секреты разработчиков через CCI

🔸 Tensorlake npm SDK скомпрометирован: кража учетных данных и распространение через ChainDrop

🔸 Две XSS-уязвимости в WordPress позволяют создать скрытого админа