Kaugjuhtimise haavatavused CUPS-i printimisteenuses

Simone Margaritelli, OpenSnitch'i ja bettercap'i autor, avaldas ennetavalt teavet eelnevalt kuulutatud kriitiliste haavatavuste kohta, mis võimaldavad kaugelt rünnata GNU/Linuxi, Solaris, FreeBSD ja mitmeid teisi BSD-süsteeme. Algne avaldamise kuupäev oli 6. oktoober, kuid teabe lekke tõttu tuli see avaldada enne tähtaega, enne kui enamik jaotusi suudab pakettide uuendamise ette valmistada. Haavatavused mõjutavad CUPS-i printimisteenust ja võimaldavad kaugelt, ilma autentimiseta, saavutada koodi täitmine süsteemis.

Probleemi tuvastanud teadlane on valmistanud töötava eksploidiga prototüübi, mis kasutab kombinatsiooni mitmest haavatavusest ja võimaldab kaugelt täita koodi CUPS-i printimistööde töötlemise protsessi õigustes (tavaliselt on see kasutaja 'lp'). Eksploid võimaldab märkamatult asendada kasutaja printeri seadeid või lisada uue printeri, mis on seotud käivitatud ründaja IPP-serveriga, mis edastab spetsiaalselt vormindatud PPD-printeri kirjeldust. Selle PPD töötlemine printimistöö käivitamise ajal viib ründaja koodi täitmiseni (on vajalik, et ohver käivitaks printimise asendatud või ründaja asendatud printerile).

Rünnakule on haavatavad süsteemid, serverilt kus töötab CUPS-i printimisteenus ja käivitatud protsess cups-browsed, mis aktsepteerib võrguühendusi 631 pordil (UDP). Rünnakut on võimalik teostada ka kohalikus võrgus, kus ligipääsuks kasutatakse serveri printimise protokolle zeroconf, mDNS või DNS-SD. Haavatavad on ainult need cups-browsed konfiguratsioonid, kus failis /etc/cups/cups-browsed.conf parameetris BrowseRemoteProtocols on väärtuseks määratud 'cups'. Systemd-põhistes jaotustes saab kontrollida cups-browsed teenuse kasutamist käsuga 'sudo systemctl status cups-browsed'.

Haavatavus avaldub kõigis CUPS-i põhjal käivitatavates printerites, kus kasutatakse haavatavaid pakette cups-filters, libcupsfilters, libppd ja cups-browsed. Parandused on praegu saadaval ainult patch'ide kujul (1, 2, 3) — kehtivad versioonid cups-filters 2.0.1, libcupsfilters 2.1b1, libppd 2.1b1 ja cups-browsed 2.0.1 on haavatavad. Distro-des on probleem endiselt lahendamata; uuenduste ilmumist saab jälgida järgnevatelt lehtedelt: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Kiiruslahenduseks kaitsemeetmena enne uuenduse installimist on võimalik sulgeda välistele võrkudele juurdepääs UDP-pordile 631, keelata cups-browsed teenus või seada BrowseRemoteProtocols seade väärtusele "none".

Tuletatud haavatavused:

• CVE-2024-47176 — haavatavus cups-browsed protsessis, mis loob võrgu sokli, mis aktsepteerib ühendusi pordil 631, seotuna kõigi süsteemis olemasolevate võrgu liideste ja aktsepteerib IPP-päringuid "Get-Printer-Attributes" igalt väliselt süsteemilt. Selle teenuse manipuleerimise kaudu on võimalik lisada süsteemi printer, mida ründaja kontrollib, ning ära kasutada selle kaudu edastatavaid PPD-konfiguratsiooni haavatavusi CUPS-i teistes komponentides.
• CVE-2024-47177 — haavatavus foomatic-rip protsessoris, mis kuulub cups-filters kompositsiooni, mis võimaldab koodi täitmist, edastades FoomaticRIPCommandLine parameetri PPD-failis, mille ründaja saab edastada tänu ülaltoodud haavatavusele cups-browsed teenuses. Parameetris FoomaticRIPCommandLine määratud shell-käsud täidetakse täpselt sellisena, ilma et arvestataks, et parameetri võib seada väljastpoolt. Näiteks failisse /tmp/VULNERABLE kirjutamiseks saab määrata "FoomaticRIPCommandLine: "echo 1 > /tmp/VULNERABLE".
• CVE-2024-47175 — haavatavus libppd-s, mis on põhjustatud ppdCreatePPDFromIPP2 väärtuse õiguse kontrollimise puudumisest IPP-atribuutide kirjutamisel ajutisse PPD-faili. Probleem võimaldab toimetada suvalisi andmeid lõplikku PPD-faili, lisades atribuute, kasutades reavahetusmärke. Näiteks saab kontrolli vältimiseks lülitada lisaks lubatud atribuutidele ka FoomaticRIPCommandLine atribuudi, et ära kasutada ülaltoodud haavatavust cups-filters-is.
• CVE-2024-47076 — haavatavus libcupsfilters teegus CUPS-pakettis, mis on seotud cfGetPrinterAttributes5 väärtuste kontrollimise puudumisega, mis tagastatakse välise IPP-serveri poolt, andes ründajale võimaluse korraldada erinevate IPP-atribuutide töötlemist CUPS-i muudes alamises, näiteks PPD-failide genereerimisel.

CUPSi ründe stsenaarium hõlmab järgmisi samme:

• Ründaja käivitab oma IPP-serveri.
• Saadab ohvrile UDP-paketi, mis sisaldab linki printerile, mis on seotud ründaja käivitatud IPP-serveriga.
• Pärast selle paketi vastuvõtmist ühendab ohvri süsteem ründaja IPP-serveriga ja küsib printeri atribuute.
• Ründaja IPP-server vastab ohvri päringule, tagastades PPD-faili, mille atribuutide seas on ka FoomaticRIPCommandLine atribuut. See atribuut kinnitatakse ühe lubatud atribuudi külge, kasutades sümbolit „\n” ühes reas (nt „cupsPrivacyURI: „https://www.google.com/\n*FoomaticRIPCommandLine: „), mis võimaldab kontrolli mööda minna ja viib FoomaticRIPCommandLine eraldi atribuudina salvestatavate andmete ajutisse faili salvestamise juurde.
• Edastatud atribuutide töötlemisel ohvri süsteemis luuakse PPD-fail: … *cupsSNMPSupplies: Vale *cupsLanguages: „en” *cupsPrivacyURI: „https://www.google.com/” *FoomaticRIPCommandLine: „echo 1 > /tmp/I_AM_VULNERABLE” *cupsFilter2: „application/pdf application/vnd.cups-postscript 0 foomatic-rip” *cupsSingleFile: Tõsi *cupsFilter2: „application/vnd.cups-pdf application/pdf 0 -” …
• Prindimise korral ründaja printerile ohvri süsteemis täidetakse käsk „echo 1 > /tmp/I_AM_VULNERABLE”

Haavatavuste avastanud uurija märkis, et haavatavuse leidmiseks kulus tal paar päeva, kuid seejärel järgnes 22 päeva kestev suhtlemine OpenPrinting projekti arendajatega, et veenda neid probleemi tähtsuses ja patchide ettevalmistamise vajaduses. Arutelu jõudis vaidlusesse, kas neid probleeme üldse parandada, ja olukorra suudeti pöörata vaid selle kaudu, et teema suhtes tõstatati avalik tähelepanu. Samuti on huvitav, et teabe lekkimisel, mille käigus anti CERT-ile konfidentsiaalne raport ja eksploit, ilmusid need breachforums.st foorumisse avatud juurdepääsuga, hoolimata teabe avalikustamise embargost.

Allikas: opennet.ru