CVE-2026-34990

CUPS 2.4.16 lokale Rechteausweitung durch beliebiges Schreiben von Dateien über CUPS_CREATE_LOCAL_PRINTER.

Schwachstelle

CUPS erlaubt das Erstellen lokaler Drucker mit einer device-uri, die auf einen file://-Pfad gesetzt ist. Das Absenden eines Druckauftrags mit document-format: application/vnd.cups-raw und compression: gzip veranlasst cupsd, die Auftragsdaten zu dekomprimieren und direkt in diesen Pfad zu schreiben — als der Benutzer, unter dem cupsd läuft (typischerweise root oder ein hochprivilegiertes Dienstkonto).

Das für administrative Vorgänge erforderliche lokale Authentifizierungstoken kann abgefangen werden, indem man ipptools cups-create-local-printer.test auf einen gefälschten IPP-Server auf localhost richtet. Wenn CUPS sich zur Authentifizierung verbindet, sendet es den Header Authorization: Local <token>, den man abfängt, bevor CUPS ihn verifizieren kann.

Funktionsweise

1. Starten eines gefälschten IPP-Servers auf localhost:9189
2. Ausführen von ipptool mit cups-create-local-printer.test, das auf den gefälschten Server zeigt — CUPS sendet sein lokales Authentifizierungstoken zur Authentifizierung
3. Antworten mit 401 WWW-Authenticate: Local trc="y" bei der ersten Verbindung, um das Token sauber abzufangen
4. Verwenden des Tokens, um einen Drucker mit device-uri: file:///etc/sudoers.d/<user>-pwn zu erstellen
5. Konfigurieren des Druckers (add/modify, accept-jobs, resume) und Absenden eines gzippten sudoers-Eintrags als Druckauftrag
6. CUPS dekomprimiert die Auftragsdaten und schreibt sie in den Zielpfad
7. sudo -n /bin/bash

Der Aufruf create_local_printer hält seinen Socket während des Rennens offen — dies hält die Druckerregistrierung in der Schwebe, während die Admin-Operationen und der Druckauftrag eintreffen.

Voraussetzungen

• CUPS 2.4.16, das auf localhost:631 läuft
• ipptool installiert mit cups-create-local-printer.test (Standard-CUPS-Installation)
• cupsd läuft mit Schreibzugriff auf den Zielpfad
• Python 3.8+

Verwendung

# writes /etc/sudoers.d/<your-username>-pwn by default
python3 exploit.py

# custom target
CUPS_TARGET=/etc/sudoers.d/youruser-pwn CUPS_ATTACKER=youruser python3 exploit.py

Bearbeiten Sie SUDOERS_LINE im Skript, um Ihren tatsächlichen Benutzernamen zu verwenden — der Standard ist aporter.

Der Exploit versucht es bis zu 12 Mal. Jeder Versuch löscht und erstellt den Drucker neu, um den Zustand zurückzusetzen.

Getestet auf

• Ubuntu 24.04, CUPS 2.4.16

Haftungsausschluss

Nur für autorisierte Sicherheitstests und Forschung.