PaperCut NG/MF のCSRFの脆弱性（CVE-2023-2533）

何が起きた

印刷管理ソフトの PaperCut NG/MF に、CSRF（クロスサイトリクエストフォージェリ）と呼ばれる弱点が見つかり、実際の悪用が確認されています。ログイン中の管理者が、攻撃者の用意した細工されたリンクをクリックすると、本人の意図しないまま、セキュリティの設定が変えられたり、任意のコード（攻撃者が好きに選べるプログラム）が実行されたりする可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、被害者（管理者）がリンクをクリックするなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PaperCut NG/MF を使っている組織が対象です。PaperCut の公式情報では、22.1.1 より前の版が影響を受けるとされ、修正を含む版として 22.1.1 以降、21.2.12、20.1.8 が挙げられています。19 以前の版はサポートが終わっています。

何をすればいい

PaperCut の公式の案内を確認し、22.1.1 以降に更新します。古い系列を使い続ける場合は、21.2.12 または 20.1.8 に更新します。19 以前の版はサポートが終わっているため、使い続けずに新しい版へ置き換えます。管理者としてログインしている間は、知らない相手から届いたリンクを開かないようにします。

やることチェックリスト

• PaperCut NG/MF を 22.1.1 以降に更新する
• 古い系列は 21.2.12 か 20.1.8 に更新する
• 19 以前の版は新しい版へ置き換える

用語メモ

CSRF

ログイン中の利用者をだまして、本人の意図しない操作をウェブサービスに送らせる攻撃のことです。

任意のコード

攻撃者が好きに選んで実行させられるプログラムのことです。