[TLP:CLEAR] Zraniteľnosti v CUPS umožňujú vzdialené spúšťanie príkazov

CUPS a súvisiace komponenty (cups-browsed, libcupsfilters, libppd, cups-filters) od spoločnosti OpenPrinting postihujú 4 zraniteľnosti, ktoré sú kriticky závažné, ak sú zneužité reťazovo [1]. Hoci sa postihnuté komponenty vyskytujú na väčšine populárnych UNIXových systémoch [1], v predvolenej konfigurácií sú povolené iba v niektorých - potvrdené je Ubuntu vo verzii 24.04, ale dá sa očakávať, že sa to týka aj iných verzií a taktiež nie je možné vylúčiť rovnaký prípad u ďalších UNIXových systémov. Prvou podmienkou zneužitia zraniteľností je služba "cups-browsed" počúvajúca na porte 631 postihnutého zariadenia pomocou protokolu UDP, čo je možné overiť pomocou príkazu "lsof -i :631" [1]. Oficiálna oprava od vývojárov zatiaľ nie je dostupná, ako dočasnú opravu je možné použiť zakázanie/odstránenie služby "cups-browsed", alebo v prípade, že systém túto službu potrebuje, zablokovať akúkoľvek prichádzajúcu UDP komunikáciu na port 631 [1]. V prípade opráv operačných systémov by mala postačiť oprava zraniteľnosti CVE-2024-47176 pre zabránenie vykonávania príkazov v OS vzdialeným útočníkom, každopádne aj zvyšné zraniteľnosti predstavujú bezpečnostné riziko, preto silne odporúčame aktualizovať jednotlivé komponenty na verziu, kde budú opravené všetky zraniteľnosti, hneď ako to bude možné. Jednotlivé distribúcie a ich opravené verzie: Ubuntu [2][3][4][5]: noble: cups - 2.4.7-1.2ubuntu7.3, libppd - 2:2.0.0-0ubuntu4.1, libcupsfilters - 2.0.0-0ubuntu7.1, cups-browsed - 2.0.0-0ubuntu10.1 jammy: cups - 2.4.1op1-1ubuntu4.11, cups-filters - 1.28.15-0ubuntu1.3, focal: cups - 2.3.1-9ubunt:u1.9, cups-filters - 1.27.4-1ubuntu0.3 Debian [6][7][8][8]: bullseye (security): cups - 2.3.3op2-3+deb11u9, cups-filters - 1.28.7-1+deb11u3 bookworm (security): cups - 2.4.2-3+deb12u8, cups-filters - 1.28.17-3+deb12u1

CUPS - RCE (CVE-2024-47176, CVE-2024-47076, CVE-2024-47175, CVE-2024-47177)
CVSS 8.3 (High)

Neautentizovanému vzdialenému útočníkovi je reťazovým zneužitím 4 zraniteľností umožnené vykonávať ľubovolné príkazy v systéme postihnutého zariadenia s právami procesu CUPS [1][9]. Detaily k jednotlivým zraniteľnostiam je možné nájsť na [1]. K zraniteľnostiam boli zverejnené PoC [10][11]. Zneužitie zraniteľností vyžaduje interakciu obete, ktorá musí na server útočníka vydávajúceho sa za tlačiareň odoslať tlačovú úlohu [1][9].

Zraniteľnosť sa nachádza v produktoch:

  • cups-browsed; <= 2.0.1;
  • libcupsfilters; <= 2.1b1;
  • libppd; <= 2.1b1;
  • cups-filters; <= 2.0.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 1. 10. 2024.

CESNET, z.s.p.o. Logo