jugular

jugsを使用してCUPSを探す：リスニング中のcups-browsedプロセスをくすぐってHTTPコールバックをさせる、超高速UDPセンダーです。

これはネットワークに直接UDPパケットを書き込む高性能スキャナです。

インストール（Ubuntuまたは類似の環境）

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... またはビルドからLinux x64バイナリをダウンロード

使い方

1. jugularに必要なネットワーク権限を付与する

rootとして実行せずにjugularが低いポートにバインドし、rawソケットにアクセスできるようにします（一度だけ行う必要があります）：

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. jugularリスニングサーバーを起動します。これはすべてのリクエストに404を返す単純なHTTPサーバーですが、現在の作業ディレクトリのjsonファイルにリクエストヘッダーを保存します。必要に応じて別の方法を使うこともできます

jugular listen --bind 0.0.0.0:80

3. プリンターを告知するUDPパケットを送信してCUPSインスタンスを探ります。注意：インターネットのスキャンは合法性のグレーゾーンにあるため、注意してください。あなたが会社のITセキュリティ担当者であれば、もちろん社内で使用できます。

jugularを実行してスキャンします：

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

このソフトウェアはパフォーマンス上の理由から独自のパケットを作成して送信ネットワークに直接書き込むため、自分の正しいマシンIPアドレスを割り当てる必要があります（確認するには ip addr を実行してください）。リモートインスタンスは、そのパラメータに入れたURLにルーティングして戻れる必要もあります。

狩りに出かける前にローカルでテストしてください。また、このソフトウェアはNATファイアウォールやその他の機器を圧倒する可能性があることを覚えておいてください（delayオプションを使用してください）。

注意 CUPSがメッセージを受信してから、指定したURLに接続するまで最大300秒の遅延があります。これはCUPSソフトウェア内にハードコードされたスケジューリング待機によるものです。また、一部のCUPSサーバーはエラーレスポンスを受信した後でもURLへの接続を試み続けるため、無限の通知がトリガーされる可能性があります。

推奨される修正

1つ以上を選択してください ...（Ubuntuの場合、他では異なるかもしれません - ufwを更新して有効にしました）

最近のディストリビューション（Ubuntuなど）では、CUPSを更新するだけで再設定されます！

• sudo apt update
• sudo apt upgrade（パッケージ「cups」が更新対象に含まれているはずです）

CUPSを維持するがファイアウォールを有効にする。これにより、CUPSへの外部からの不正アクセスが無効になります（リモートで操作している場合は注意）：

• sudo ufw allow ssh（必要な場合。http、httpsなどでも可）
• sudo ufw enable（ファイアウォールを有効にする）

印刷しない場合はCUPSを削除できます：

• sudo apt remove cups

CUPSを維持するが停止して無効にする：

• sudo systemctl disable --now cups

興味深い結果が得られたら、ぜひお聞かせください。

その他の実装：

• https://github.com/MalwareTech/CVE-2024-47176-Scanner by MalwareTech