CVE-2023-27351

Суть уязвимости

CVE-2023-27351 представляет собой критическую уязвимость обхода аутентификации в компоненте SecurityRequestFilter. Злоумышленник может получить доступ к веб-интерфейсу администрирования с правами SetupWizard (первичная настройка), что позволяет выполнять произвольный код в контексте системы (RCE). Уязвимость эксплуатируется удаленно без предварительной авторизации путем обращения к специфическим URL-адресам, которые ошибочно считаются доступными до завершения настройки сервера.

Как исправить

Единственным надежным способом устранения уязвимости является обновление PaperCut NG/MF до версий, в которых ошибка исправлена.

1. Скачайте актуальный установщик с официального сайта PaperCut.
2. Выполните обновление поверх текущей установки (данные и настройки будут сохранены).
3. Убедитесь, что версия ПО соответствует одной из следующих или выше:
4. 20.1.7
5. 21.2.11
6. 22.0.9

Для проверки текущей версии в Windows (PowerShell):

(Get-Item "C:\Program Files\PaperCut NG\server\lib\pcng-server.jar").VersionInfo.ProductVersion

Временные меры

Если немедленное обновление невозможно, необходимо ограничить сетевой доступ к интерфейсу управления.

1. Настройте межсетевой экран (Firewall) так, чтобы доступ к портам управления (по умолчанию TCP 9191 и 9192) был разрешен только с доверенных IP-адресов администраторов.

2. Если используется Linux (iptables), ограничьте доступ следующей командой (замените ADMIN_IP на ваш адрес):

iptables -A INPUT -p tcp -s ADMIN_IP --dport 9191 -j ACCEPT
iptables -A INPUT -p tcp --dport 9191 -j DROP

1. Заблокируйте доступ к веб-интерфейсу на уровне настроек самого приложения, отредактировав файл server.properties и ограничив разрешенные IP-адреса для администрирования:

admin.lan.allowed-addresses=127.0.0.1,Ваш_IP

1. После внесения изменений в конфигурационный файл перезапустите службу PaperCut:

net stop "PaperCut Application Server" && net start "PaperCut Application Server"