Neautorizovana RCE greška utiče na sve Linux sisteme – otkriveni detalji

Simone Margaritelli je otkrila ozbiljnu ranjivost u daljinskom izvršavanju koda (RCE) u Common Unix Printing System (CUPS), koja utiče na sve GNU/Linux sisteme.

Simone Margaritelli je ranije obavještena o neautorizovanoj RCE mani koja utiče na sve GNU/Linux sisteme, a sada je otkrio tehničke detalje.

Greška, koja uključuje četiri različita CVE-a (CVE-2024-47176, CVE-2024-47076, CVE-2024-47175, CVE-2024-47177), omogućava neautorizovanim napadačima da izvrše proizvoljne komande na značajnim prijetnjama na ranjivim sistemima, mrežna sigurnost .

“Sa generičke sigurnosne tačke gledišta, cijeli Linux sistem kakav je danas samo je beskrajan i beznadežan haos sigurnosnih rupa koje čekaju da budu iskorištene.”

Istraživač sigurnosti otkrio je ranjivost i detaljno opisao nalaze u opsežnom zapisu. Istraživač je identifikovao nekoliko kritičnih problema u CUPS sistemu, uključujući:

1. CVE-2024-47176 : cups-browsedUsluga se vezuje za UDP port 631, vjerujući bilo kojem paketu iz bilo kojeg izvora da pokrene IPP zahtjev Get-Printer-Attributes na URL koji kontroliše napadač.
2. CVE-2024-47076 : libcupsfiltersBiblioteka ne provjerava valjanost niti dezinfikuje IPP atribute vraćene sa IPP servera, pružajući podatke koje kontroliše napadač ostatku CUPS sistema.
3. CVE-2024-47175 : libppdBiblioteka ne provjerava valjanost niti dezinfikuje IPP atribute kada ih upisuje u privremenu PPD datoteku, dozvoljavajući ubrizgavanje podataka koje kontroliše napadač u rezultirajući PPD.
4. CVE-2024-47177 : cups-filtersPaket dozvoljava proizvoljno izvršenje komande preko FoomaticRIPCommandLine PPD parametra.

Margaritelli je pokazao kako se ove ranjivosti mogu iskoristiti za postizanje daljinskog izvršavanja koda na potpuno zakrpljenom Ubuntu 24.04.1 LTS sistemu koji radi cups-browsed2.0.1.

Udaljeni napadač bez autentifikacije može tiho zamijeniti IPP URL-ove postojećih štampača (ili instalirati nove) malicionzim, što rezultira proizvoljnim izvršavanjem komande na računaru kada se pokrene zadatak za štampanje.

Ranjivosti se mogu iskoristiti putem WAN-a/javnog interneta slanjem UDP paketa na port 631 i preko LAN-a lažiranjem zeroconf/mDNS/DNS-SD reklama

Margaritelli je skenirao čitav javni internet IPv4 opseg i primio povratne veze sa stotina hiljada uređaja, naglašavajući široko rasprostranjenu izloženost sistema ovim ranjivostima.

Prema Shodanu , otkriveno je dobrih 73k CUPS servera, koji prihvataju prilagođeni paket iz bilo kojeg nepouzdanog izvora preko UDP porta 631.

Ranjivosti utiču na većinu GNU/Linux distribucija, neke BSD-ove, Google Chromium/ChromeOS, Oracle Solaris i moguće više sistema u kojima  cups-browsed su pakovani CUPS i posebno

Ranjivosti su prijavljene projektu OpenPrinting, a neke ispravke su uložene, ali istraživač je izrazio frustraciju zbog odgovornog procesa otkrivanja, navodeći kašnjenja i odbacivanje programera.

Ozbiljnost ranjivosti je naglašena početnom ocenom CVSS od 9,9, koju je procijenio Red Hat inženjer.

Iako istraživač priznaje da uticaj možda ne garantuje ocjenu 9,9, lakoća eksploatacije i široko rasprostranjeno prisustvo ranjivog paketa čine ga kritičnim pitanjem.

Preporuke

• Onemogućite i uklonite  cups-browsed uslugu
• Ažurirajte CUPS paket u sigurnosnim ažuriranjima
• Ako nije moguće ažurirati, blokirajte UDP port 631
• Takođe, razmislite o blokiranju DNS-SD-a

U svjetlu ovih nalaza, korisnicima se savjetuje da onemoguće i uklone cups-browseduslugu ako nije potrebna, ažuriraju CUPS paket na svojim sistemima i blokiraju sav promet na UDP port 631 i DNS-SD promet.

Margaritelli takođe preporučuje uklanjanje svih CUPS servisa, binarnih datoteka i biblioteka iz sistema i izbjegavanje upotrebe zeroconf/avahi/bonjour slušalaca.

Izvor: CyberSecurityNews