Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Zranitelnosti v CUPS umožňují vzdálené spouštění příkazů

CUPS a související komponenty (cups-browsed, libcupsfilters, libppd, cups-filters) od společnosti OpenPrinting postihují 4 zranitelnosti, které jsou kriticky závažné, pokud jsou zneužity řetězově [1]. Ačkoli se postižené komponenty vyskytují na většině populárních UNIXových systémů [1], ve výchozí konfiguraci jsou povoleny pouze na některých - potvrzeno je Ubuntu ve verzi 24.04, ale lze očekávat, že se to týká i jiných verzí, a rovněž nelze vyloučit stejný případ u dalších UNIXových systémů. První podmínkou zneužití zranitelností je služba "cups-browsed" naslouchající na portu 631 postiženého zařízení pomocí protokolu UDP, což lze ověřit příkazem "lsof -i :631" [1]. Oficiální oprava od vývojářů zatím není dostupná. Jako dočasnou opravu je možné použít zakázání/odstranění služby "cups-browsed", nebo v případě, že systém tuto službu potřebuje, zablokovat jakoukoli příchozí UDP komunikaci na port 631 [1]. V případě oprav operačních systémů by měla postačit oprava zranitelnosti CVE-2024-47176 pro zabránění provádění příkazů v OS vzdáleným útočníkem, každopádně i zbývající zranitelnosti představují bezpečnostní riziko, proto důrazně doporučujeme aktualizovat jednotlivé komponenty na verzi, kde budou opraveny všechny zranitelnosti, jakmile to bude možné. Jednotlivé distribuce a jejich opravené verze: Ubuntu [2][3][4][5]: noble: cups - 2.4.7-1.2ubuntu7.3, libppd - 2:2.0.0-0ubuntu4.1, libcupsfilters - 2.0.0-0ubuntu7.1, cups-browsed - 2.0.0-0ubuntu10.1 jammy: cups - 2.4.1op1-1ubuntu4.11, cups-filters - 1.28.15-0ubuntu1.3, focal: cups - 2.3.1-9ubunt:u1.9, cups-filters - 1.27.4-1ubuntu0.3 Debian [6][7][8][8]: bullseye (security): cups - 2.3.3op2-3+deb11u9, cups-filters - 1.28.7-1+deb11u3 bookworm (security): cups - 2.4.2-3+deb12u8, cups-filters - 1.28.17-3+deb12u1

CUPS - RCE (CVE-2024-47176, CVE-2024-47076, CVE-2024-47175, CVE-2024-47177)
CVSS 8.3 (High)

Neautentizovanému vzdálenému útočníkovi je řetězovým zneužitím 4 zranitelností umožněno vykonávat libovolné příkazy v systému postiženého zařízení s právy procesu CUPS [1][9]. Detaily k jednotlivým zranitelnostem je možné nalézt na [1]. K zranitelnostem byla zveřejněna PoC [10][11]. Zneužití zranitelností vyžaduje interakci oběti, která musí na server útočníka vydávajícího se za tiskárnu odeslat tiskovou úlohu [1][9].

Zranitelnost se nachází v produktech:

  • cups-browsed; <= 2.0.1;
  • libcupsfilters; <= 2.1b1;
  • libppd; <= 2.1b1;
  • cups-filters; <= 2.0.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 26. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 1. 10. 2024.

CESNET, z.s.p.o. Logo