PaperCut NG/MF 관리 기능에 숨은 unsafe reflection, CVE-2026-82078 대응 정리

이미지 출처: CISA KEV

사무실 구석에 놓인 인쇄 서버는 자산 목록에서도 늘 맨 아래쪽에 있음. 담당은 총무팀이고, 패치 주기는 "복합기 잘 나오면 됐지"에서 멈춰 있는 경우가 대부분임. 그런데 그 장비가 도메인 계정으로 인증을 받고, 부서별 출력 로그를 쌓고, 관리 콘솔을 웹으로 열어두고 있다면 이야기가 달라짐. CVE-2026-82078은 바로 그 PaperCut NG/MF에서 안전하지 않은 리플렉션(unsafe reflection) 처리가 문제로 지목된 사례임.

핵심 요약

• PaperCut NG/MF가 외부에서 들어온 값을 클래스·메서드 이름으로 그대로 써서 호출하는 구조(CWE-470)가 문제의 핵심임
• 공격이 성사되면 인쇄 서버 프로세스 권한으로 임의 코드가 실행될 수 있고, 이 서버는 보통 내부망 깊숙한 곳에 있음
• 패치가 1순위, 그다음이 관리 포트(9191/9192) 노출 차단과 pc-app-server의 자식 프로세스 감시임

1. unsafe reflection이 왜 위험한가

리플렉션은 자바에서 "이름만 가지고 클래스를 찾아 실행"하는 기능임. 개발 편의를 위해 플러그인 구조나 동적 핸들러 매핑에 흔히 씀. 문제는 그 이름을 사용자가 보낸 파라미터에서 가져올 때 발생함.

• 정상 흐름: 요청 값 → 허용 목록 대조 → 정해진 핸들러 호출
• 취약 흐름: 요청 값 → 그대로 클래스 로딩 → 인자까지 요청에서 받아 메서드 실행

후자면 개발자가 의도한 적 없는 내부 클래스까지 호출 대상이 됨. 여기서 실행 흐름을 바꿀 수 있는 클래스가 하나만 걸려도 원격 코드 실행으로 이어짐. 개념은 딱 여기까지고, 어떤 클래스를 어떻게 엮는지는 다루지 않음.

2. 인쇄 서버가 표적이 되는 진짜 이유

PaperCut은 2023년에도 인증 우회와 결합된 취약점이 랜섬웨어 그룹의 초기 침투 경로로 실제 악용된 전력이 있음. 공격자 입장에서 매력적인 조건이 겹쳐 있기 때문임.

• 웹 관리 콘솔이 상시 떠 있고, 편의상 인터넷 노출된 사례가 꾸준히 발견됨
• 서비스 계정 권한이 과하게 높은 경우가 많고, 윈도우에서는 SYSTEM에 가까운 권한으로 도는 구성이 흔함
• AD 연동으로 사용자 목록·부서 구조를 이미 들고 있어 내부 정찰 자료로 바로 쓰임
• EDR 정책 예외로 빠져 있는 경우가 잦음. 출력 지연 민원 때문에 예외를 넣어놓고 잊는 패턴임

3. 탐지 포인트

패치 전이든 후든, 이 계열 취약점은 프로세스 계보에서 가장 선명하게 드러남. 인쇄 서버가 갑자기 셸을 띄울 이유는 없음.

• 자식 프로세스 감시: pc-app-server.exe나 javaw.exe가 부모인 cmd.exe, powershell.exe, certutil, bitsadmin 실행. Sysmon Event ID 1로 부모-자식 관계를 걸어두면 오탐이 거의 없는 규칙이 나옴
• 애플리케이션 로그: 설치 경로의 server/logs/server.log와 관리자 감사 로그. 클래스 로딩 실패, ClassNotFoundException, NoSuchMethodException이 짧은 시간에 반복되면 이름을 바꿔가며 더듬은 흔적일 가능성이 큼
• 웹 접근 로그: 관리 경로에 대한 비정상 파라미터, 점(.)으로 구분된 패키지 형태 문자열이 값으로 들어오는 요청
• 파일 생성: 서버 디렉터리 하위나 임시 폴더에 새로 생긴 스크립트·JSP·실행 파일
• 아웃바운드 트래픽: 인쇄 서버가 외부로 HTTPS 세션을 새로 여는 행위. 이 장비는 원래 밖으로 나갈 일이 거의 없어서 베이스라인 잡기가 쉬움

4. 완화 순서

1. 업그레이드가 최우선. 벤더가 공지한 수정 빌드로 올리는 것 외에 근본 해결책은 없음. 리플렉션 입력 검증은 애플리케이션 코드 안에서만 고칠 수 있음
2. 관리 콘솔 노출 제거. 9191/9192 포트를 인터넷에 열어둘 이유가 없음. 외부 접근이 꼭 필요하면 VPN이나 리버스 프록시 뒤로 넣고 IP 허용 목록을 붙이기
3. 권한 낮추기. 서비스 실행 계정을 전용 계정으로 분리하고, 도메인 관리자 권한과 절대 엮지 않기
4. EDR 예외 재점검. 예외를 걸어야 한다면 스풀 디렉터리처럼 좁은 경로만 지정하고, 서버 실행 파일 자체는 절대 예외에서 빼지 않기

5. 이미 뚫렸는지 확인하려면

패치만 하고 끝내면 남아 있는 발판을 놓침. 최소한 이 정도는 훑어야 함.

• 관리자 계정 목록과 최근 로그인 이력, 낯선 계정 추가 여부
• 서비스 등록·예약 작업·자동 실행 항목 중 취약 기간에 생성된 것
• 웹 애플리케이션 디렉터리의 파일 변경 시각 비교
• 해당 서버 계정으로 다른 시스템에 시도된 인증 로그

개인적으로는 이런 "업무 보조 서버" 목록을 따로 만들어 관리하는 걸 추천함. 인쇄, 회의실 예약, 사내 위키, 파일 변환 서버처럼 다들 쓰지만 아무도 주인이 아닌 장비들 말임. 취약점은 늘 화려한 시스템이 아니라 이 목록에서 터짐. 이번 주에 딱 30분만 내서 내부망 스캔 한 번 돌려보고, PaperCut 버전부터 확인해보면 어떨까 함. 확인해보니 의외의 장비가 인터넷에 열려 있더라 하는 경험, 댓글로 나눠주시면 반갑겠음.