ملاحظات ونقاط رئيسية من غرفة TryHackMe التي تغطي CVE-2023-27350، وهي ثغرة حرجة في تجاوز المصادقة في PaperCut MF/NG يمكن أن تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).

إخلاء مسؤولية: هذه الملاحظات لأغراض تعليمية وتلخص المفاهيم المستفادة من غرفة TryHackMe. لا تختبر الأنظمة التي لا تملكها أو ليس لديك إذن صريح بتقييمها.

📌 نظرة عامة

📖 ما هو PaperCut؟

PaperCut MF/NG هو حل لإدارة الطباعة تستخدمه المدارس والجامعات والشركات والمؤسسات الحكومية لإدارة الطابعات وحصص الطباعة ومصادقة المستخدمين.

نظرًا لأنه يتكامل غالبًا مع Active Directory ويدير بنية تحتية حساسة، فإن اختراق خادم PaperCut يمكن أن يكون له عواقب وخيمة.

⚠️ ملخص الثغرة

CVE-2023-27350 هو ثغرة تجاوز مصادقة.

يمكن للمهاجم تجاوز عملية تسجيل الدخول والحصول على وصول بمستوى المسؤول إلى تطبيق PaperCut على الويب دون بيانات اعتماد صالحة.

بمجرد الحصول على وصول المسؤول، يمكن إساءة استخدام الوظائف الإدارية المشروعة لتنفيذ أوامر نظام التشغيل، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).

🔄 سلسلة الهجوم

Internet
    │
    ▼
PaperCut Web Server
    │
    ▼
Authentication Bypass
    │
    ▼
Administrator Access
    │
    ▼
Administrative Features
    │
    ▼
Execute OS Commands
    │
    ▼
SYSTEM (Windows)
or
root (Linux)

🧠 مفاهيم أساسية

• ثغرات تجاوز المصادقة يمكن أن تلغي تمامًا الحاجة إلى كلمات المرور.
• الوظائف الإدارية غالبًا ما توفر مسارات غير مباشرة إلى RCE.
• ميزات التطبيق المشروعة يمكن أن تتحول إلى بدائيات هجوم.
• يجب دائمًا تحديث برامج المؤسسات الموجهة للجمهور.

🔍 الاستطلاع

أشياء يستحق تحديدها أثناء الاستطلاع:

• بوابة تسجيل الدخول إلى PaperCut
• معلومات الإصدار
• ترويسات استجابة HTTP
• واجهة الإدارة العامة
• تقنية خادم الويب

أدوات مفيدة:

nmap
whatweb
curl
ffuf

🚩 مفهوم الاستغلال

سلسلة الهجوم الإجمالية هي:

1. الوصول إلى نقطة النهاية الضعيفة.
2. تجاوز المصادقة.
3. الحصول على وصول المسؤول.
4. الوصول إلى الوظائف الإدارية المدمجة.
5. تنفيذ أوامر نظام التشغيل.
6. الحصول على صدفة بصلاحيات مرتفعة.

تعرض غرفة TryHackMe هذه العملية في بيئة مختبرية آمنة.

🛡️ فرص الكشف

تشمل المؤشرات المحتملة للاختراق ما يلي:

• عمليات تسجيل دخول غير متوقعة للمسؤول
• طلبات إلى نقاط نهاية إدارية دون مصادقة مسبقة
• عمليات فرعية تم إطلاقها بواسطة خدمة PaperCut
• تنفيذ PowerShell أو cmd.exe
• تنفيذ Bash أو sh على Linux
• حسابات مسؤول جديدة
• إنشاء مهام مجدولة
• اتصالات شبكة صادرة غير معتادة

🔒 التخفيف

قم بالترقية إلى الإصدارات المصححة:

• 20.1.7+
• 21.2.11+
• 22.0.9+

توصيات إضافية:

• تقييد التعرض للإنترنت
• مراقبة إجراءات المسؤول
• مراجعة سجلات PaperCut بانتظام
• تطبيق التحديثات الأمنية على الفور
• مراقبة إنشاء العمليات من خدمة PaperCut

🎯 تخطيط MITRE ATT&CK

📚 ما تعلمته

• تجاوزات المصادقة من بين أكثر ثغرات الويب تأثيرًا.
• غالبًا ما يتم تحقيق تنفيذ التعليمات البرمجية عن بُعد بإساءة استخدام الميزات المشروعة بدلاً من استغلال تلف الذاكرة.
• يجب ألا تتعرض لوحات الإدارة للإنترنت دون داعٍ.
• يجب تصحيح برامج المؤسسات بسرعة بعد إصدار النشرات الأمنية.
• ثغرة ويب واحدة يمكن أن تؤدي إلى اختراق كامل للنظام.

📝 ملاحظات الغرفة

خلاصات مهمة

• تجاوز المصادقة ≠ رفع الامتيازات؛ فهو يمنح وصولًا إداريًا فوريًا.
• يجب دائمًا اعتبار الوظائف الإدارية سطح هجوم محتمل.
• حدد دائمًا إصدارات البرامج أثناء الاستطلاع.
• ابحث عن ميزات البرمجة النصية أو المزامنة أو الأتمتة المضمنة بعد الحصول على وصول المسؤول.
• راقب العمليات الفرعية التي تنشئها تطبيقات الويب.

📂 الأدوات المذكورة

• Nmap
• Curl
• WhatWeb
• FFUF

📖 المراجع

• TryHackMe — PaperCut: CVE-2023-27350
• NIST National Vulnerability Database — CVE-2023-27350
• CISA Advisory AA23-131A
• PaperCut Security Advisory

✅ المهارات التي تم التدرب عليها

• تعداد الويب
• تحديد الثغرات
• مفاهيم تجاوز المصادقة
• فهم سلاسل هجمات RCE
• تحليل الامتيازات
• الكشف الدفاعي
• تخطيط MITRE ATT&CK
• أمن برامج المؤسسات

⭐ الملخص

تعرض هذه الغرفة كيف يمكن أن يتصاعد تجاوز مصادقة بسيط ظاهريًا إلى تنفيذ كامل للتعليمات البرمجية عن بُعد عبر إساءة استخدام وظائف المسؤول المشروعة.

أكبر درس هو أن اختراق المصادقة غالبًا يعني اختراق التطبيق بأكمله.