CVE-2026-34990 — CUPS ローカルプリンターPoC

認可されたテスト／研究用途に限ります。 このPoCは、あなたが所有しているか、明示的にテストを許可されているシステムに対してのみ実行してください。

このリポジトリには、CUPS 2.4.16 におけるローカルプリンター脆弱性を、システムのCUPSを対象に再現する実装が含まれています。

この実装は、公開されているCUPS脆弱性の再現コードをもとに開発され、別途インストールされたCUPSビルドとrootで実行する再現ハーネスを必要とするのではなく、すでに稼働しているシステムのCUPSインストールに対して動作するように適応されています。

このPoCが示すもの

再現は、おおむね次の連鎖に従います。

CUPS 2.4.16
    │
    ▼
ローカル認証チャレンジ
    │
    ▼
攻撃者が制御するIPPエンドポイント
    │
    ▼
Authorization: Local <token>
    │
    ▼
認証済みCUPS管理
    │
    ▼
CUPS-Create-Local-Printer
    │
    ▼
file:// デバイスURI
    │
    ▼
プリンター／ジョブの競合
    │
    ▼
root所有の対象ファイル

このエクスプロイトは競合状態に依存するため、毎回成功するとは限りません。

この実装が存在する理由

公開されている再現コードは、制御された脆弱性ハーネスとして設計されています。特に、専用のCUPSインストールを前提とし、再現環境では適切だが、すでに稼働しているディストリビューションのインストールを代表するものではないセットアップ／リセット操作を実行します。

この実装は代わりに、次のことを行います。

システムに既存のCUPSサービスを使用する。
インストール済みの ipptool バイナリを使用する。
利用可能な場合は、システムの cups-create-local-printer.test 定義を使用する。
CUPSの Local 認可トークンを取得する。
そのトークンを認証済みIPP管理に再利用する。
ローカルプリンター／file:// プリミティブを再現する。
再現コードで使用されるプリンター／ジョブのシーケンスを実行する。
最終的な権限チェックを成功条件として扱う。

要件

作者のラボで以下を用いてテスト済みです。

CUPS 2.4.16
Python 3
ipptool

テスト定義は次の場所にあることを想定しています。

/usr/share/cups/ipptool/cups-create-local-printer.test

インストール状況は次のコマンドで確認できます。

cupsd -v
which ipptool
find /usr/share/cups -name 'cups-create-local-printer.test' 2>/dev/null

使用方法

攻撃者IDと対象パスを環境変数で設定します。

export CUPS_ATTACKER="$USER"
export CUPS_TARGET="/tmp/cups-poc-target"
python3 exploit.py

制御された権限昇格の再現を行う場合は、分離されたテスト環境に適した対象を選択してください。

このスクリプトはデフォルトで /etc/sudoers.d/ 配下のsudoers形式の対象を指定するため、本番システムで気軽に実行しないでください。

重要な実装の詳細

ローカルトークンの漏えい

このPoCはIPPリスナーを起動し、CUPSにそれに対して認証させます。リスナーは最初に 401 チャレンジを次の内容で返します。

WWW-Authenticate: Local trc="y"

続くリクエストには次が含まれます。

Authorization: Local <token>

その後、このトークンはローカルCUPS管理エンドポイントに対して再利用されます。

ローカルプリンターの作成

再現では次を使用します。

CUPS-Create-Local-Printer

file:// デバイスURIとともに使用します。

競合／ジョブのシーケンス

候補ループはプリンター操作を繰り返し実行します。これには次が含まれます。

CUPS-Add-Modify-Printer
CUPS-Accept-Jobs
Resume-Printer
Print-Job

1回の試行では勝てない可能性があるため、競合は意図的に繰り返されます。

公開されている再現コードとの関係

このリポジトリは適応版であり、正規のアップストリーム実装ではありません。

リクエスト構築ロジックとエクスプロイトのシーケンスは、公開されている再現コードに基づいています。主な変更点は、既存のシステムCUPSインストールに対して実行することと、再現環境のセットアップ／リセットの前提を削除したことです。

権威ある脆弱性情報と元の再現コードについては、アップストリームのOpenPrinting CUPSセキュリティアドバイザリおよびリポジトリを参照してください。

制限事項

このエクスプロイトは競合状態に依存します。
ディストリビューション固有のCUPS設定が動作に影響する可能性があります。
ファイルのパーミッションやAppArmorなどの隔離機構が結果を変える可能性があります。
トークンの漏えいが成功したからといって、それ自体が権限昇格の成功を意味するわけではありません。
このPoCは、作者の制御されたラボ環境でのみ検証されています。

責任ある使用

許可なくCUPSインストールに対してこれを使用しないでください。

防御的な検証において有用な指標には、攻撃者が制御するエンドポイントへの予期しないIPPリクエスト、異常な Local 認証交換、予期しないローカルプリンターの作成、不審なプリンター／ジョブアクティビティなどがあります。

CVE-2026-34990-poc

人気