CVE-2026-34990 | PoC de Escalada de Privilegios Local en CUPS

Una prueba de concepto genérica para CVE-2026-34990, una vulnerabilidad de escalada de privilegios local que afecta a CUPS 2.4.16.

El exploit demuestra cómo un usuario local sin privilegios puede abusar de la autenticación local de CUPS y del comportamiento de configuración de impresoras para obtener una escritura arbitraria de archivos como root y escalar privilegios.

Vulnerabilidad

• CVE: CVE-2026-34990
• Componente: CUPS
• Versión Probada: CUPS 2.4.16
• Tipo: Escalada de Privilegios Local
• Impacto: Escritura arbitraria de archivos como root
• Versión Corregida: CUPS 2.4.17

Crédito de la Vulnerabilidad

CVE-2026-34990 fue reportada originalmente por:

Asim Viladi Oglu Manizada (@manizada)

No soy el descubridor de esta vulnerabilidad.

Este repositorio contiene mi implementación de prueba de concepto adaptada y probada, basada en información técnica divulgada públicamente.

Cómo Funciona

A alto nivel, la cadena de explotación es:

Usuario local sin privilegios
        |
        v
Crear impresora temporal en CUPS
        |
        v
Activar autenticación IPP saliente
        |
        v
Capturar Authorization: Local token
        |
        v
Reutilizar token contra operaciones privilegiadas de CUPS
        |
        v
Crear/persistir impresora file://
        |
        v
Enviar trabajo de impresión
        |
        v
Escritura arbitraria de archivos propiedad de root
        |
        v
Escalada de privilegios

El PoC utiliza automáticamente el nombre de usuario local actual.

Por ejemplo, cuando se ejecuta como:

alice

la carga útil de demostración apunta a:

/etc/sudoers.d/alice-pwn

e intenta escribir:

alice ALL=(ALL) NOPASSWD: ALL

Un exploit exitoso puede verificarse luego con:

sudo -n id

Ejemplo:

uid=0(root) gid=0(root) groups=0(root)

Requisitos

El PoC requiere:

• Linux
• Python 3
• Instalación vulnerable de CUPS
• ipptool
• lp
• lpstat
• Acceso local al planificador de CUPS

Verificar la versión de CUPS:

cups-config --version

Verificar que el planificador esté en ejecución:

lpstat -r

Verificar el listener local de CUPS:

ss -lnt | grep 631

Uso

Clonar el repositorio:

git clone https://github.com/Noorkhalel/CVE-2026-34990-CUPS-LPE-PoC.git
cd CVE-2026-34990-CUPS-LPE-PoC

Ejecutar:

python3 exploit.py

Ejemplo de salida:

[*] user: <local-user>
[*] target: /etc/sudoers.d/<local-user>-pwn

[+] Local token: <LOCAL_TOKEN>

[*] attempt 1: <printer-name>

[+] ROOT via sudoers
uid=0(root) gid=0(root) groups=0(root)

[*] next: sudo -n bash

Después de una explotación exitosa:

sudo -n bash

Alcance

Este PoC está escrito intencionalmente como una implementación genérica del CVE divulgado públicamente.

No contiene:

• Información específica de CTF
• Información de plataformas de entrenamiento
• Nombres de máquinas
• Credenciales
• Flags
• Direcciones IP objetivo
• Secretos específicos del entorno

Descargo de Responsabilidad

Este código se proporciona para:

• Investigación de seguridad
• Reproducción de vulnerabilidades
• Pruebas defensivas
• Propósitos educativos
• Pruebas de penetración autorizadas

Utilice este código únicamente en sistemas de su propiedad o en sistemas para los que tenga autorización explícita.

El autor no es responsable del uso indebido de este software.

Créditos

Descubrimiento de la vulnerabilidad:
Asim Viladi Oglu Manizada (@manizada)

Adaptación del PoC, pruebas y documentación:
Noor Khalil

Referencias

• CVE-2026-34990
• OpenPrinting CUPS
• OpenPrinting Security Advisory - GHSA-c54j-2vqw-wpwp