Honeypot CUPS

Panoramica

Questo progetto implementa un honeypot per catturare i tentativi di sfruttamento delle vulnerabilità nel CUPS (Common UNIX Printing System). In particolare, è progettato per monitorare i tentativi di sfruttamento legati a CVE-2024-47177. Questa vulnerabilità consente l'esecuzione remota di comandi tramite il parametro FoomaticRIPCommandLine nei file PPD. Se a questo parametro viene passato un valore dannoso, può essere eseguito come un comando controllato dall'utente, portando potenzialmente a gravi violazioni della sicurezza.

CUPS e CVE-2024-47177

CUPS è un sistema di stampa open source basato su standard, ampiamente utilizzato su vari sistemi operativi simili a UNIX. Il pacchetto cups-filters fornisce backend, filtri e utilità essenziali per CUPS 2.x su sistemi non Mac OS. Il difetto critico sfruttato in CVE-2024-47177 è la gestione impropria di FoomaticRIPCommandLine, che può essere sfruttata in combinazione con altri bug logici, come quelli descritti in CVE-2024-47176, per eseguire comandi arbitrari sul sistema host.

Questo honeypot è progettato per registrare i tentativi di sfruttamento monitorando le richieste di lavoro di stampa in arrivo e ispezionandole alla ricerca di attributi sospetti, concentrandosi in particolare su printer-privacy-policy-uri che può contenere comandi.

Nota Speciale

Questo progetto è ispirato alla divulgazione iniziale di EvilSocket, che evidenzia i rischi per la sicurezza associati a CUPS e fornisce una panoramica completa delle tecniche di sfruttamento coinvolte.

Caratteristiche

• Monitoraggio Passivo: L'honeypot può funzionare in modalità passiva, rimanendo in ascolto delle richieste di lavoro di stampa in arrivo senza prendere di mira attivamente un host specifico.
• Rilevamento degli Exploit: Cattura e registra i tentativi di sfruttare le vulnerabilità di CUPS esaminando gli attributi delle richieste di lavoro di stampa.
• Configurazione Casuale della Stampante: Seleziona automaticamente un driver di stampa casuale e genera un nome di stampante casuale utilizzando i PPD disponibili sul sistema.
• Invio di Pacchetti UDP: Opzionalmente, può inviare pacchetti di broadcast a un host di destinazione specificato, simulando l'annuncio di una stampante di rete.

Requisiti

Per eseguire questo honeypot, assicurati di avere installate le seguenti dipendenze:

• Ubuntu 23.x (testato)
• CUPS installato sul tuo sistema
• Le librerie Python cups e subprocess (incluse nelle installazioni Python standard)

Installazione

• Scarica ed esegui il file install.sh:

  root@kitploit:~

  curl -sSL https://raw.githubusercontent.com/referefref/cupspot-2024-47177/refs/heads/main/install.sh | bash
  

Utilizzo

Per eseguire l'honeypot, esegui il seguente comando:

python3 cupspot.py <LOCAL_HOST> [TARGET_HOST]
#<LOCAL_HOST>: L'indirizzo locale su cui l'honeypot ascolterà le richieste di stampa in arrivo.
#[TARGET_HOST]: (Opzionale) L'indirizzo IP di un host di destinazione a cui verranno inviati i pacchetti di broadcast.
                #Se omesso, l'honeypot funzionerà in modalità passiva.

Esempio

Esegui l'honeypot e invia pacchetti a un target specifico:

python3 cupspot.py 127.0.0.1 192.168.1.100

Oppure eseguilo in modalità passiva:

python3 cupspot.py 127.0.0.1