PaperCut MF/NG 22.0.10 (Build 65996 2023-03-27) - Remote code execution via CSRF

CSRF na interface administrativa do PaperCut NG/MF que permite alterar configurações de segurança do servidor e, encadeada com outras funções do produto, levar a execução de código arbitrário. O impacto real depende de um pré-requisito que a nota do CVSS já embute mas que passa batido em manchete: a vítima precisa ser um administrador com sessão ativa no console web, convencido a clicar num link malicioso. Está no catálogo KEV da CISA, mas foi adicionado em julho de 2025 — dois anos após a publicação da CVE —, o que sugere confirmação tardia de exploração, não uma onda massiva desde o dia zero.

A falha é CWE-352 (Cross-Site Request Forgery): os endpoints administrativos do PaperCut NG/MF, acessíveis via a interface web em /app?service=direct/1/..., aceitam requisições GET/POST que alteram estado do servidor sem validar origem ou usar token anti-CSRF vinculado à sessão. Como a aplicação usa esse padrão de 'service call' baseado em parâmetros de formulário serializados na URL, um atacante consegue reproduzir fielmente uma submissão de formulário legítima do Config Editor apenas conhecendo a estrutura dos parâmetros — não precisa de credencial, só que o navegador da vítima tenha uma sessão de admin válida.

O PoC público (Fluid Attacks) demonstra o vetor completo: uma página HTML com JavaScript dispara, em sequência, requisições para o Config Editor do PaperCut que (1) resetam o campo de busca da tela de configuração, (2) navegam para a página específica das configurações de Print/Device Script, e (3) enviam um formulário que liga 'print-and-device.script.enabled' (Y) e desliga o sandbox de scripts de impressão ('print.script.sandboxed' -> N). Com o sandbox desabilitado e scripting habilitado, um script de impressão malicioso passa a poder executar código/executáveis no contexto do servidor — a ponte entre CSRF e RCE.

Pré-requisitos reais: a vítima tem que ser um administrador autenticado no PaperCut com sessão ativa no navegador (PR:H no vetor CVSS), e precisa interagir com o link ou página maliciosa (UI:R) — engenharia social é parte obrigatória do ataque, não um bônus. Não há indício de exploração pré-autenticação nem de acesso direto sem interação humana.

O KEV da CISA confirma exploração no mundo real, mas o próprio catálogo marca 'Known To Be Used in Ransomware Campaigns: Unknown' e a data de inclusão (2025-07-28, prazo 2025-08-18) é muito posterior à publicação da CVE, o que indica reclassificação/confirmação tardia mais do que uma campanha ativa desde 2023.

O fornecedor lançou a versão 22.1.1 como parte do Security Bulletin de junho de 2023, com um pacote de hardening que separa configurações sensíveis (incluindo Print Scripting/Device Scripting e a habilidade de executar executáveis/código não seguro via scripts) para um arquivo security.properties fora da interface web administrativa, reduzindo a superfície que um CSRF pode atingir mesmo sem token anti-forgery completo. Atualizar para 22.1.1 ou posterior é a mitigação recomendada pelo fornecedor.

Se a atualização não for viável imediatamente, reduza a exposição da interface admin: restrinja o acesso à console web administrativa por rede/firewall, evite que administradores naveguem em outras abas/sites com a sessão do PaperCut aberta, e desative explicitamente Print Scripting/Device Scripting caso não sejam usados — mas isso é controle compensatório, não correção da causa raiz (falta de proteção CSRF nos endpoints).

Não existe mitigação eficaz baseada apenas em 'treinar o admin para não clicar em links suspeitos': funciona como redução de risco, não como correção. Da mesma forma, WAF genérico tende a não distinguir uma submissão de formulário legítima do Config Editor de uma forjada, porque a estrutura da requisição é idêntica — a defesa real é o patch mais isolamento de rede da interface administrativa.

Não há assinatura pública de detecção confirmada nas fontes consultadas. Como indício técnico, vale monitorar logs de acesso web do PaperCut por requisições para os endpoints /app?service=direct/1/ConfigEditor/... com cabeçalho Referer externo ao domínio do servidor PaperCut, e por mudanças inesperadas nas propriedades 'print-and-device.script.enabled' e 'print.script.sandboxed' fora de janelas de manutenção conhecidas — mudanças nesses dois valores específicos são o indicador mais direto de que o vetor documentado publicamente foi usado.