CVE-2023-27350

Nome do Software Vulnerável e Versões Afetadas PaperCut MF versões anteriores a 20.1.7 PaperCut MF versões anteriores a 21.2.11 PaperCut MF versões anteriores a 22.0.9 PaperCut NG versões anteriores a 20.1.7 PaperCut NG versões anteriores a 21.2.11 PaperCut NG versões anteriores a 22.0.9 PaperCut NG versão 22.0.5 (Build 63914) PaperCut MF (versões afetadas não especificadas) PaperCut NG (versões afetadas não especificadas)

Description O controle de acesso inadequado na classe SetupCompleted permite que invasores remotos não autenticados ignorem a autenticação e executem código arbitrário no contexto de SYSTEM. O problema é explorado através do abuso do formato de requisição direta do Apache Tapestry, visando especificamente endpoints como /app?service=direct/1/Error/ConfigEditor/quickFindForm. Ao manipular essas requisições, os invasores podem invocar componentes privilegiados, como ConfigEditor e UserList, enquanto o sistema valida apenas a página de Erro ou Exceção exibida.

A exploração técnica envolve a reescrita de chaves de configuração — especificamente user-lookup.db-driver, user-lookup.db-url, user-lookup.id-to-username-sql e user-lookup.enabled — para apontar para uma URL JDBC H2 maliciosa. Esta cadeia utiliza o driver Apache Derby integrado e o mecanismo JavaScript Nashorn para criar um gatilho de banco de dados que inicia processos do sistema operacional. Esta falha tem sido explorada ativamente por operadores de ransomware, incluindo LockBit e Clop, visando principalmente organizações empresariais e instituições educacionais.

Recommendations Atualize o PaperCut MF e o PaperCut NG para as versões 20.1.7, 21.2.11 ou 22.0.9, respectivamente, dependendo da ramificação da versão atual. Aplique as correções de emergência lançadas em 28 de agosto de 2026 para as versões 25 e 26. Restrinja o acesso externo às interfaces web do PaperCut Application Server para minimizar o risco de exploração.