{"id":718071,"date":"2023-05-04T16:00:53","date_gmt":"2023-05-04T18:00:53","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-un-nouvel-exploit-pour-la-vulnerabilite-de-papercut-qui-peut-contourner-la-detection\/"},"modified":"2023-05-04T16:00:56","modified_gmt":"2023-05-04T18:00:56","slug":"des-chercheurs-decouvrent-un-nouvel-exploit-pour-la-vulnerabilite-de-papercut-qui-peut-contourner-la-detection","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-un-nouvel-exploit-pour-la-vulnerabilite-de-papercut-qui-peut-contourner-la-detection\/","title":{"rendered":"Des chercheurs d\u00e9couvrent un nouvel exploit pour la vuln\u00e9rabilit\u00e9 de PaperCut qui peut contourner la d\u00e9tection"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>04 mai 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 \/ Vuln\u00e9rabilit\u00e9 du serveur<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont trouv\u00e9 un moyen d’exploiter une faille critique r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans les serveurs PaperCut d’une mani\u00e8re qui contourne toutes les d\u00e9tections actuelles.<\/p>\n

Suivi comme CVE-2023-27350<\/a> (score CVSS\u00a0: 9,8), le probl\u00e8me affecte les installations PaperCut MF et NG qui pourraient \u00eatre exploit\u00e9es par un attaquant non authentifi\u00e9 pour ex\u00e9cuter du code arbitraire avec les privil\u00e8ges SYSTEM.<\/p>\n

Alors que la faille \u00e9tait patch\u00e9<\/a> par la soci\u00e9t\u00e9 australienne le 8 mars 2023, les premiers signes d’exploitation active sont apparus le 13 avril 2023.<\/p>\n

Depuis lors, la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 arm\u00e9<\/a> par plusieurs groupes de menaces, y compris des acteurs de ran\u00e7ongiciels, avec une activit\u00e9 de post-exploitation entra\u00eenant l’ex\u00e9cution de commandes PowerShell con\u00e7ues pour supprimer des charges utiles suppl\u00e9mentaires.<\/p>\n

Maintenant, VulnCheck a publi\u00e9<\/a> un exploit de preuve de concept (PoC) qui contourne les signatures de d\u00e9tection existantes en tirant parti du fait que “PaperCut NG et MF offrent plusieurs chemins d’ex\u00e9cution de code”.<\/p>\n

\"La<\/a><\/center><\/div>\n

Il convient de noter que les exploits publics de la faille utilisent l’interface de script d’imprimante PaperCut pour soit ex\u00e9cuter des commandes Windows<\/a> ou d\u00e9poser un fichier d’archive Java (JAR) malveillant<\/a>.<\/p>\n

Ces deux approches, selon VulnCheck, laissent des empreintes distinctes dans le moniteur syst\u00e8me Windows (alias SysmonName<\/a>) service et le fichier journal du serveur, sans parler du d\u00e9clencheur signature r\u00e9seau<\/a> qui peut d\u00e9tecter le contournement d’authentification.<\/p>\n

\"Vuln\u00e9rabilit\u00e9<\/div>\n

Mais la firme de renseignement sur les menaces bas\u00e9e dans le Massachusetts a d\u00e9clar\u00e9 avoir d\u00e9couvert une nouvelle m\u00e9thode qui abuse du logiciel de gestion d’impression “Synchronisation utilisateur\/groupe<\/a>“, qui permet de synchroniser les informations sur les utilisateurs et les groupes \u00e0 partir d’Active Directory, de LDAP ou d’une source personnalis\u00e9e.<\/p>\n

Lorsqu’on opte pour un source de r\u00e9pertoire personnalis\u00e9e<\/a>, les utilisateurs peuvent \u00e9galement sp\u00e9cifier un programme d’authentification personnalis\u00e9 pour valider le nom d’utilisateur et le mot de passe d’un utilisateur. Fait int\u00e9ressant, les programmes utilisateur et auth peuvent \u00eatre n’importe quel ex\u00e9cutable, bien que le programme auth doive \u00eatre de nature interactive.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n

Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n

Sauvez ma place\u00a0!<\/a><\/div>\n

L’exploit PoC con\u00e7u par VulnCheck repose sur le programme d’authentification d\u00e9fini comme “\/usr\/sbin\/python3” pour Linux et “C:WindowsSystem32ftp.exe” pour Windows. Tout ce dont un attaquant a besoin pour ex\u00e9cuter du code arbitraire est de fournir un nom d’utilisateur et un mot de passe malveillants lors d’une tentative de connexion, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n

La m\u00e9thode d’attaque pourrait \u00eatre exploit\u00e9e pour lancer un reverse shell Python sur Linux ou t\u00e9l\u00e9charger un reverse shell personnalis\u00e9 h\u00e9berg\u00e9 sur un serveur distant sous Windows sans activer aucune des d\u00e9tections connues.<\/p>\n

“Un utilisateur administratif attaquant PaperCut NG et MF peut suivre plusieurs chemins vers l’ex\u00e9cution de code arbitraire”, a soulign\u00e9 VulnCheck.<\/p>\n

“Les d\u00e9tections qui se concentrent sur une m\u00e9thode d’ex\u00e9cution de code particuli\u00e8re, ou qui se concentrent sur un petit sous-ensemble de techniques utilis\u00e9es par un acteur de la menace sont vou\u00e9es \u00e0 \u00eatre inutiles lors de la prochaine s\u00e9rie d’attaques. Les attaquants apprennent des d\u00e9tections publiques des d\u00e9fenseurs, c’est donc aux d\u00e9fenseurs responsabilit\u00e9 de produire des d\u00e9tections robustes qui ne sont pas facilement contourn\u00e9es.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n