Notas y conclusiones clave de la sala de TryHackMe que cubre CVE-2023-27350, una vulnerabilidad crítica de omisión de autenticación en PaperCut MF/NG que puede conducir a la ejecución remota de código (RCE).

Aviso legal: Estas notas tienen fines educativos y resumen conceptos aprendidos en la sala de TryHackMe. No pruebes contra sistemas que no poseas o para los que no tengas permiso explícito de evaluar.

📌 Descripción general

📖 ¿Qué es PaperCut?

PaperCut MF/NG es una solución de gestión de impresión utilizada por escuelas, universidades, empresas y organizaciones gubernamentales para administrar impresoras, cuotas de impresión y autenticación de usuarios.

Dado que a menudo se integra con Active Directory y gestiona infraestructura sensible, comprometer un servidor PaperCut puede tener graves consecuencias.

⚠️ Resumen de la vulnerabilidad

CVE-2023-27350 es una vulnerabilidad de omisión de autenticación.

Un atacante puede omitir el proceso de inicio de sesión y obtener acceso a nivel de administrador a la aplicación web de PaperCut sin credenciales válidas.

Una vez obtenido el acceso de administrador, la funcionalidad administrativa legítima puede ser abusada para ejecutar comandos del sistema operativo, lo que resulta en Ejecución Remota de Código (RCE).

🔄 Flujo de ataque

Internet
    │
    ▼
PaperCut Web Server
    │
    ▼
Authentication Bypass
    │
    ▼
Administrator Access
    │
    ▼
Administrative Features
    │
    ▼
Execute OS Commands
    │
    ▼
SYSTEM (Windows)
or
root (Linux)

🧠 Conceptos clave

• Las vulnerabilidades de omisión de autenticación pueden eliminar por completo la necesidad de contraseñas.
• La funcionalidad administrativa a menudo proporciona caminos indirectos hacia RCE.
• Las funciones legítimas de la aplicación pueden convertirse en primitivas de ataque.
• El software empresarial expuesto públicamente siempre debe mantenerse actualizado.

🔍 Enumeración

Cosas que vale la pena identificar durante el reconocimiento:

• Portal de inicio de sesión de PaperCut
• Información de versión
• Cabeceras de respuesta HTTP
• Interfaz de administración pública
• Tecnología del servidor web

Herramientas útiles:

nmap
whatweb
curl
ffuf

🚩 Concepto de explotación

La cadena de ataque general es:

1. Alcanzar el endpoint vulnerable.
2. Omitir la autenticación.
3. Obtener acceso de administrador.
4. Acceder a la funcionalidad administrativa integrada.
5. Ejecutar comandos del sistema operativo.
6. Obtener una shell con privilegios elevados.

La sala de TryHackMe demuestra este proceso en un entorno de laboratorio seguro.

🛡️ Oportunidades de detección

Los posibles indicadores de compromiso incluyen:

• Inicios de sesión de administrador inesperados
• Solicitudes a endpoints administrativos sin autenticación previa
• Procesos hijos generados por el servicio de PaperCut
• Ejecución de PowerShell o cmd.exe
• Ejecución de Bash o sh en Linux
• Nuevas cuentas de administrador
• Creación de tareas programadas
• Conexiones de red salientes inusuales

🔒 Mitigación

Actualiza a versiones parcheadas:

• 20.1.7+
• 21.2.11+
• 22.0.9+

Recomendaciones adicionales:

• Restringir la exposición a Internet
• Supervisar las acciones de los administradores
• Revisar los registros de PaperCut regularmente
• Aplicar las actualizaciones de seguridad con prontitud
• Supervisar la creación de procesos desde el servicio de PaperCut

🎯 Mapeo MITRE ATT&CK

📚 Lo que aprendí

• Las omisiones de autenticación se encuentran entre las vulnerabilidades web más impactantes.
• La ejecución remota de código a menudo se logra abusando de funciones legítimas en lugar de explotar la corrupción de memoria.
• Los paneles administrativos nunca deben exponerse innecesariamente.
• El software empresarial debe parchearse rápidamente después de que se publiquen los avisos de seguridad.
• Una sola vulnerabilidad web puede llevar al compromiso total del sistema.

📝 Notas de la sala

Conclusiones importantes

• La omisión de autenticación no es igual a la escalada de privilegios; concede acceso administrativo inmediato.
• La funcionalidad de administrador siempre debe considerarse una superficie de ataque potencial.
• Identifica siempre las versiones de software durante la enumeración.
• Busca funciones integradas de scripting, sincronización o automatización después de obtener acceso de administrador.
• Supervisa los procesos hijos creados por las aplicaciones web.

📂 Herramientas mencionadas

• Nmap
• Curl
• WhatWeb
• FFUF

📖 Referencias

• TryHackMe — PaperCut: CVE-2023-27350
• NIST National Vulnerability Database — CVE-2023-27350
• CISA Advisory AA23-131A
• PaperCut Security Advisory

✅ Habilidades practicadas

• Enumeración web
• Identificación de vulnerabilidades
• Conceptos de omisión de autenticación
• Comprensión de cadenas de ataque RCE
• Análisis de privilegios
• Detección defensiva
• Mapeo MITRE ATT&CK
• Seguridad del software empresarial

⭐ Resumen

Esta sala demuestra cómo una omisión de autenticación aparentemente simple puede escalar a Ejecución Remota de Código completa al abusar de la funcionalidad legítima de administrador.

La mayor lección es que romper la autenticación a menudo significa romper toda la aplicación.