Krytyczna podatność w oprogramowaniu PaperCut MF i PaperCut NG umożliwia zdalnym atakującym ominięcie uwierzytelnienia i wykonanie dowolnego kodu z uprawnieniami SYSTEM bez jakiejkolwiek interakcji użytkownika. Podatność jest aktywnie wykorzystywana w środowisku produkcyjnym, co czyni ją wyjątkowo niebezpieczną.
▸ Pokaż oryginał (EN)
This vulnerability allows remote attackers to bypass authentication on affected installations of PaperCut NG 22.0.5 (Build 63914). Authentication is not required to exploit this vulnerability. The specific flaw exists within the SetupCompleted class. The issue results from improper access control. An attacker can leverage this vulnerability to bypass authentication and execute arbitrary code in the context of SYSTEM. Was ZDI-CAN-18987.
Podatność tkwi w klasie SetupCompleted, w której zastosowano nieprawidłową kontrolę dostępu (CWE-284). Atakujący może wysłać odpowiednio spreparowane żądanie sieciowe do podatnego serwera PaperCut bez podawania jakichkolwiek danych uwierzytelniających. Skutkuje to całkowitym pominięciem mechanizmu logowania, po czym atakujący uzyskuje możliwość wykonania dowolnego kodu w kontekście konta SYSTEM operującego na serwerze.
Atakujący uzyskuje pełną kontrolę nad serwerem z uprawnieniami SYSTEM, co oznacza możliwość kradzieży danych, instalacji złośliwego oprogramowania, lateral movement w sieci oraz pełnego przejęcia systemu operacyjnego.
Należy natychmiast zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na aktywne exploitowanie podatności (potwierdzone przez CISA KEV) aktualizacja powinna zostać wdrożona priorytetowo. Do czasu instalacji poprawki należy rozważyć izolację serwera PaperCut od sieci publicznej oraz ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych adresów IP.
PaperCut NG 22.0.5 (Build 63914) oraz PaperCut MF — wersje wskazane w referencjach producenta
Podatność została zgłoszona pierwotnie jako ZDI-CAN-18987 (Zero Day Initiative). Dostępnych jest wiele publicznych exploitów (m.in. w serwisie Packet Storm Security). Według serwisu Sophos News (27.04.2023) odnotowano nasiloną aktywność exploitowania tej podatności w Internecie.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HPapercut Mf
APPPapercut8.0 – 20.1.7 (bez)21.0.0 – 21.2.11 (bez)22.0.0 – 22.0.9 (bez)Papercut Ng
APPPapercut8.0 – 20.1.7 (bez)21.0.0 – 21.2.11 (bez)22.0.0 – 22.0.9 (bez)
CISA KEV — szczegółyi
- Dostawcai
- PaperCut ↗
- Produkti
- MF/NG
- Data dodania do KEVi
- 21 kwietnia 2023
- Termin remediation (USA)i
- 12 maja 2023(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj aktualizacje zgodnie z instrukcjami producenta.
▸ Pokaż oryginał (EN)
Apply updates per vendor instructions.
PaperCut MF/NG zawiera lukę w kontroli dostępu w klasie SetupCompleted, która umożliwia obejście uwierzytelniania i wykonanie kodu w kontekście systemu.
▸ Pokaż oryginał (EN)
PaperCut MF/NG contains an improper access control vulnerability within the SetupCompleted class that allows authentication bypass and code execution in the context of system.
Powiązane podatności
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and P...
PaperCut NG/MF – path traversal umożliwiający RCE przez upload plików
RCE w serwerze aplikacji PaperCut MF i NG — zdalne wykonanie kodu
Script injection w PaperCut MF i NG przez interfejs użytkownika
An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG...