Notizen und wichtigste Erkenntnisse aus dem TryHackMe-Room zu CVE-2023-27350, einer kritischen Schwachstelle zur Authentifizierungsumgehung in PaperCut MF/NG, die zu Remote-Code-Ausführung (RCE) führen kann.

Haftungsausschluss: Diese Notizen dienen Bildungszwecken und fassen die im TryHackMe-Room vermittelten Konzepte zusammen. Testen Sie keine Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zur Bewertung haben.

📌 Übersicht

📖 Was ist PaperCut?

PaperCut MF/NG ist eine Druckverwaltungslösung, die von Schulen, Universitäten, Unternehmen und Regierungsorganisationen genutzt wird, um Drucker, Druckkontingente und die Benutzerauthentifizierung zu verwalten.

Da es häufig in Active Directory integriert ist und sensible Infrastruktur verwaltet, kann die Kompromittierung eines PaperCut-Servers schwerwiegende Folgen haben.

⚠️ Zusammenfassung der Schwachstelle

CVE-2023-27350 ist eine Schwachstelle zur Authentifizierungsumgehung.

Ein Angreifer kann den Anmeldeprozess umgehen und ohne gültige Anmeldedaten Administratorzugriff auf die PaperCut-Webanwendung erlangen.

Sobald der Administratorzugriff erlangt wurde, kann legitime administrative Funktionalität missbraucht werden, um Betriebssystembefehle auszuführen, was zu Remote-Code-Ausführung (RCE) führt.

🔄 Angriffsablauf

Internet
    │
    ▼
PaperCut Web Server
    │
    ▼
Authentication Bypass
    │
    ▼
Administrator Access
    │
    ▼
Administrative Features
    │
    ▼
Execute OS Commands
    │
    ▼
SYSTEM (Windows)
or
root (Linux)

🧠 Wichtige Konzepte

• Schwachstellen zur Authentifizierungsumgehung können die Notwendigkeit von Passwörtern vollständig beseitigen.
• Administrative Funktionalität bietet oft indirekte Wege zu RCE.
• Legitime Anwendungsfunktionen können zu Angriffsprimitiven werden.
• Öffentlich erreichbare Unternehmenssoftware sollte immer auf dem neuesten Stand gehalten werden.

🔍 Enumeration

Was es während der Aufklärung zu identifizieren gilt:

• PaperCut-Anmeldeportal
• Versionsinformationen
• HTTP-Antwortheader
• Öffentlich erreichbare Admin-Oberfläche
• Webserver-Technologie

Nützliche Werkzeuge:

nmap
whatweb
curl
ffuf

🚩 Ausnutzungskonzept

Die gesamte Angriffskette ist:

1. Den verwundbaren Endpunkt erreichen.
2. Die Authentifizierung umgehen.
3. Administratorzugriff erlangen.
4. Auf die integrierte administrative Funktionalität zugreifen.
5. Betriebssystembefehle ausführen.
6. Eine Shell mit erhöhten Rechten erhalten.

Der TryHackMe-Room demonstriert diesen Prozess in einer sicheren Laborumgebung.

🛡️ Erkennungsmöglichkeiten

Mögliche Indikatoren für eine Kompromittierung sind:

• Unerwartete Administrator-Anmeldungen
• Anfragen an administrative Endpunkte ohne vorherige Authentifizierung
• Vom PaperCut-Dienst erzeugte untergeordnete Prozesse
• Ausführung von PowerShell oder cmd.exe
• Ausführung von Bash oder sh unter Linux
• Neue Administratorkonten
• Erstellung geplanter Aufgaben
• Ungewöhnliche ausgehende Netzwerkverbindungen

🔒 Gegenmaßnahmen

Upgrade auf gepatchte Versionen:

• 20.1.7+
• 21.2.11+
• 22.0.9+

Weitere Empfehlungen:

• Die Internet-Erreichbarkeit einschränken
• Administratoraktionen überwachen
• PaperCut-Logs regelmäßig prüfen
• Sicherheitsupdates zeitnah einspielen
• Die Prozesserstellung durch den PaperCut-Dienst überwachen

🎯 MITRE-ATT&CK-Zuordnung

📚 Was ich gelernt habe

• Authentifizierungsumgehungen gehören zu den folgenreichsten Webschwachstellen.
• Remote-Code-Ausführung wird oft durch den Missbrauch legitimer Funktionen erreicht, anstatt durch die Ausnutzung von Speicherfehlern.
• Administrationsoberflächen sollten niemals unnötig exponiert werden.
• Unternehmenssoftware sollte schnell gepatcht werden, nachdem Sicherheitshinweise veröffentlicht wurden.
• Eine einzige Webschwachstelle kann zur vollständigen Kompromittierung des Systems führen.

📝 Notizen zum Room

Wichtige Erkenntnisse

• Authentifizierungsumgehung ≠ Rechteausweitung; sie gewährt sofortigen Administratorzugriff.
• Administratorfunktionen sollten immer als potenzielle Angriffsfläche betrachtet werden.
• Während der Enumeration immer die Softwareversionen identifizieren.
• Nach Erlangung des Admin-Zugriffs nach integrierten Skript-, Synchronisierungs- oder Automatisierungsfunktionen suchen.
• Von Webanwendungen erzeugte untergeordnete Prozesse überwachen.

📂 Erwähnte Werkzeuge

• Nmap
• Curl
• WhatWeb
• FFUF

📖 Referenzen

• TryHackMe — PaperCut: CVE-2023-27350
• NIST National Vulnerability Database — CVE-2023-27350
• CISA Advisory AA23-131A
• PaperCut Security Advisory

✅ Geübte Fähigkeiten

• Web-Enumeration
• Identifizierung von Schwachstellen
• Konzepte der Authentifizierungsumgehung
• Verständnis von RCE-Angriffsketten
• Rechteanalyse
• Defensive Erkennung
• MITRE-ATT&CK-Zuordnung
• Sicherheit von Unternehmenssoftware

⭐ Zusammenfassung

Dieser Room zeigt, wie eine scheinbar einfache Authentifizierungsumgehung durch den Missbrauch legitimer Administratorfunktionen zu einer vollständigen Remote-Code-Ausführung eskalieren kann.

Die wichtigste Lehre ist, dass das Umgehen der Authentifizierung oft bedeutet, die gesamte Anwendung zu kompromittieren.