CVE-2026-39047

CVE-2026-39047: إطار عمل استغلال بروتوكول RAW لطابعات إبسون

المستودع: https://github.com/J4ck3LSyN-Gen2/CVE-2026-39047
سكربت الإثبات (PoC): poc.py
الهدف المحاكى: mock_printer.py
المؤلف: J4ck3LSyN

نظرة عامة

يوضح هذا الإطار ثغرة CVE-2026-39047 - وهي تجاوز سعة مخزن مؤقت عن بُعد في طابعات إبسون متعددة الوظائف (لا سيما L14150 FL27PB) عند معالجة حمولات تالفة أو ضخمة عبر بروتوكول طباعة RAW عبر TCP (عادةً على المنفذ 9100).

يمكن أن يؤدي الاستغلال الناجح إلى تنفيذ تعليمات برمجية عشوائية في البيئة المدمجة للطابعة، مما يتيح:

• حرمان الخدمة (DoS) / تعطل/إعادة تشغيل الجهاز
• تنفيذ الأوامر / الوصول إلى الصدفة (في السيناريوهات المرحلية)
• آليات الثبات
• التنقل في الشبكة أو استخراج البيانات من البنية التحتية للطباعة المخترقة

يركز هذا الإثبات (PoC) على تأطير النقل (transport framing)، وإخفاء الحمولة (payload obfuscation)، وتقنيات الفازينغ (fuzzing)، وسلوكيات ما بعد الاستغلال المرحلية المناسبة لعمليات الفريق الأحمر، وبحوث الثغرات، والاختبارات الدفاعية.

[!WARNING]

• يمكن لهذه الأداة أن تؤدي (وستؤدي) إلى تنفيذ تعليمات برمجية عن بُعد (RCE) على الطابعات القابلة للاستغلال.
• الاستخدام غير المصرح به، أو المسح، أو الاستغلال للأنظمة التي لا تمتلكها أو ليس لديك إذن كتابي صريح لاختبارها هو أمر غير قانوني وقد ينتهك قوانين الاحتيال وإساءة استخدام الحاسوب (مثل CFAA في الولايات المتحدة)، و__لوائح حماية البيانات__، و__سياسات المؤسسات__.
  لا يتحمل المؤلف أي مسؤولية عن أي ضرر أو فقدان بيانات أو انقطاع خدمة أو عواقب قانونية ناتجة عن استخدام هذا الكود أو إساءة استخدامه.
• استخدمها فقط في بيئات معمل معزول مع أجهزة تتحكم فيها.
• احصل دائمًا على تفويض صريح قبل أي اختبار.
• يتضمن الكود وضعي التشغيل التجريبي (dry-run) و_السلبي (passive)_ للمساعدة في التحليل الآمن.
  يُشجع بشدة على الإفصاح المسؤول والاستخدام الأخلاقي.
• قم بتحديث أجهزتك فور توفر تحديثات البائع.
• غالبًا ما تكون الطابعات على شبكات داخلية تتمتع بثقة عالية ومراقبة محدودة، مما يجعلها أسطح هجوم جذابة.

تفاصيل الثغرة

• المنتج المتأثر: EPSON L14150 (البرنامج الثابت FL27PB وعلى الأرجح طرازات مماثلة)
• ناقل الهجوم: خدمة الطباعة RAW (شبيهة بـ JetDirect) على TCP/9100
• الأثر: تنفيذ تعليمات برمجية عن بُعد (RCE) عبر تجاوز سعة مخزن مؤقت قائم على المكدس (stack-based buffer overflow)
• CVSS: شديد الخطورة (التفاصيل متوفرة على NVD)
• السبب الجذري: فحص حدود غير كافٍ لبيانات/إطارات مهام الطباعة الواردة في البرنامج الثابت للطابعة

المراجع:

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-39047
• التنبيهات والتقارير ذات الصلة (ابحث عن معرّف CVE)

الميزات

• توصيف الطابعة: يفحص الهدف للتأكد من قابلية الوصول والحصول على معلومات أساسية عن الطراز/البرنامج الثابت باستخدام أوامر PJL.
• توليد الحمولة:
  • تقنيات متعددة: أنماط دورية (cyclic)، وسلاسل تنسيق (format strings)، ومنزلقات NOP، وبيانات عشوائية.
  • طبقة إخفاء (zlib + XOR + Base64 بمفاتيح ديناميكية).
  • تأطير نقل مخصص (بروتوكول PRT2).
• أوضاع التسليم:
  • إرسال مجزأ مع تأخيرات عشوائية (مناسب للمراوغة).
  • وضع التشغيل التجريبي (بدون حركة مرور على الشبكة).
• خيارات الحملة:
  • استطلاع سلبي.
  • فازينغ (Fuzzing) بأحجام وتقنيات متغيرة.
  • تجهيز مرحلة ما بعد الاستغلال (صدفة، منارة (beacon)، محاكاة ثبات).
• طابعة المحاكاة: mock_printer.py للاختبار المحلي الآمن (تتعطل عند الحمولات الضخمة).

المتطلبات الأساسية

• Python 3.8+
• لا توجد تبعيات خارجية (يستخدم المكتبة القياسية فقط: socket, asyncio, argparse, zlib, hashlib, إلخ.)

التثبيت / الإعداد

1. استنساخ المستودع:

   root@kitploit:~

   git clone https://github.com/J4ck3LSyN-Gen2/CVE-2026-39047.git
   cd CVE-2026-39047
   

2. جعل السكربتات قابلة للتنفيذ:

   root@kitploit:~

   chmod +x poc.py mock_printer.py
   

3. (اختياري) الاختبار باستخدام طابعة المحاكاة في طرفية واحدة:

   root@kitploit:~

   ./mock_printer.py
   

الاستخدام

./poc.py -t <TARGET_IP> [OPTIONS]

الوسائط الرئيسية

أمثلة:

• اختبار أساسي (baseline):

  root@kitploit:~

  ./poc.py -t 192.168.1.100
  

• تشغيل فازينغ:

  root@kitploit:~

  ./poc.py -t 192.168.1.100 --fuzz --techniques cyclic random
  

• استيلاء مرحلي (للمختبر فقط):

  root@kitploit:~

  ./poc.py -t 192.168.1.100 --hijack --objective shell --dry-run
  

• حملة كاملة مع هدف محاكى:

  root@kitploit:~

  # Terminal 1
  ./mock_printer.py
  
  # Terminal 2
  ./poc.py -t 127.0.0.1 --fuzz --hijack --objective stage1
  

أبرز النقاط التقنية في التنفيذ

• النقل: bTransportFrame() يغلّف الحمولات بترويسة PRT2 + الطول.
• الإخفاء (lObf): ضغط zlib → قناع XOR ديناميكي (مشتق من بذرة) → Base64.
• بُنَاة الحمولة: gModernPayload() و gPostPayload() لأنماط وأوامر مرحلية متنوعة.
• التجهيز المرحلي: يولّد أوامر صدفة لأدلة التشغيل وملفات الإعداد وخطافات الثبات (محاكاة).
• التسليم غير المتزامن: إرسال مجزأ مع تذبذب (jitter) لمزيد من الواقعية.

راجع التوثيق المضمّن (docstrings) وتعليقات الكود لمزيد من التفاصيل.

الاكتشاف / التخفيف

• الاكتشاف: راقب TCP/9100 بحثًا عن أحجام حمولات شاذة، أو أوامر PJL غير معتادة، أو اتصالات متكررة من مصادر غير متوقعة. ابحث عن أنماط تأطير PRT2.
• التخفيف:
  • طبق تحديثات البرنامج الثابت من إبسون فور توفرها.
  • تقسيم الشبكة: اعزل الطابعات عن شبكات المستخدمين العامة.
  • قواعد جدار حماية تقيّد المنفذ 9100 بخوادم الطباعة الموثوقة.
  • عطّل بروتوكول RAW إذا لم يكن ضروريًا؛ وفضّل البدائل الآمنة (IPPS، إلخ.).
  • مراجعة منتظمة للبرنامج الثابت وجرد للطابعات.

إخلاء المسؤولية (مكرر)

يُقدَّم هذا الإثبات (PoC) حصريًا لأغراض تعليمية وبحثية واختبارات أمنية مصرح بها. قد يؤدي إساءة الاستخدام إلى عواقب وخيمة. مالك المستودع غير مسؤول عن أي ضرر يحدث.