{"id":119956,"date":"2024-09-27T09:43:04","date_gmt":"2024-09-27T07:43:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemye-uyazvimosti-v-servere-pechati-cups"},"modified":"2024-09-27T09:43:04","modified_gmt":"2024-09-27T07:43:04","slug":"udalyonno-ekspluatiruemye-uyazvimosti-v-servere-pechati-cups","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/udalyonno-ekspluatiruemye-uyazvimosti-v-servere-pechati-cups","title":{"rendered":"Fernbedienbare Schwachstellen im Druckserver CUPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Simone Margaritelli, der Autor der OpenSnitch-Firewall und des Netzwerk-Analysetools bettercap, hat vorzeitig Informationen \u00fcber zuvor angek\u00fcndigte kritische Schwachstellen ver\u00f6ffentlicht, die es erm\u00f6glichen, Distributionen von GNU\/Linux, Solaris, FreeBSD und einigen anderen BSD-Systemen aus der Ferne anzugreifen. Urspr\u00fcnglich war die Ver\u00f6ffentlichung f\u00fcr den 6. Oktober geplant, jedoch musste die Bekanntmachung aufgrund eines Informationslecks vorzeitig erfolgen, bevor die meisten Distributionen ein Update der Pakete vorbereiten konnten. Die Schwachstellen betreffen den CUPS-Druckserver und erm\u00f6glichen es, aus der Ferne ohne Authentifizierung Code im System auszuf\u00fchren. <\/p>\n

Der Forscher, der das Problem identifiziert hat, hat einen funktionierenden Exploit-Prototypen vorbereitet, der eine Kombination mehrerer Schwachstellen nutzt und es erm\u00f6glicht, aus der Ferne Code mit den Rechten des CUPS-Druckauftragsprozesses auszuf\u00fchren (normalerweise ist dies der Benutzer \u201elp\u201c). Der Exploit erm\u00f6glicht es, die Druckereinstellungen des Benutzers unauff\u00e4llig zu ersetzen oder einen neuen Drucker hinzuzuf\u00fcgen, der mit einem unterlaufenen IPP-Server des Angreifers verbunden ist, welcher eine speziell gestaltete PPD-Druckerbeschreibung zur\u00fcckgibt. Die Verarbeitung dieses PPD w\u00e4hrend des Druckauftrags f\u00fchrt zur Ausf\u00fchrung des Codes des Angreifers (es ist daf\u00fcr erforderlich, dass das Opfer einen Druckauftrag an den untergeschobenen oder durch den Angreifer ersetzten Drucker initiiert). <\/p>\n

Angreifbar sind Systeme mit Server<\/a> CUPS-Druck und einem laufenden Prozess cups-browsed, der Netzwerkverbindungen am Port 631 (UDP) akzeptiert. Der Angriff kann auch aus einem lokalen Netzwerk erfolgen, in dem f\u00fcr den Zugriff auf zu einem Server<\/a> F\u00fcr den Druck werden die Protokolle zeroconf, mDNS oder DNS-SD verwendet. Nur Konfigurationen von cups-browsed sind anf\u00e4llig, bei denen im Datei \/etc\/cups\/cups-browsed.conf der Parameter BrowseRemoteProtocols auf den Wert \u201ecups\u201c gesetzt ist. In Distributionen mit systemd kann die Nutzung des Services cups-browsed mit dem Befehl \u201esudo systemctl status cups-browsed\u201c \u00fcberpr\u00fcft werden. <\/p>\n

Die Schwachstelle tritt in allen Drucksystemen auf, die auf CUPS basieren und in denen anf\u00e4llige Versionen der Pakete cups-filters, libcupsfilters, libppd und cups-browsed verwendet werden. Patches (1, 2, 3) sind bislang nur in Form von Korrekturen verf\u00fcgbar \u2014 die aktuellen Versionen cups-filters 2.0.1, libcupsfilters 2.1b1, libppd 2.1b1 und cups-browsed 2.0.1 sind anf\u00e4llig. In den Distributionen bleibt das Problem ungepatcht; die Verf\u00fcgbarkeit von Updates kann auf den folgenden Seiten verfolgt werden: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Als vor\u00fcbergehende Schutzma\u00dfnahme kann bis zur Installation des Updates der Zugriff auf den UDP-Port 631 f\u00fcr externe Netzwerke gesperrt, der Dienst cups-browsed deaktiviert oder die Einstellung BrowseRemoteProtocols auf \u201enone\u201c gesetzt werden. <\/p>\n

Festgestellte Schwachstellen: <\/p>\n