CVE-2026-34990 — PoC de impressora local do CUPS

Apenas para testes autorizados / uso em pesquisa. Execute este PoC somente contra sistemas que você possui ou está explicitamente autorizado a testar.

Este repositório contém uma reprodução orientada ao CUPS do sistema da vulnerabilidade de impressora local no CUPS 2.4.16.

A implementação foi desenvolvida a partir da reprodução publicada da vulnerabilidade do CUPS e adaptada para funcionar contra uma instalação do CUPS do sistema já em execução, em vez de exigir uma compilação do CUPS instalada separadamente e um harness de reprodução executado como root.

O que este PoC demonstra

A reprodução segue esta cadeia geral:

CUPS 2.4.16
    │
    ▼
Desafio de autenticação local
    │
    ▼
Endpoint IPP controlado pelo atacante
    │
    ▼
Authorization: Local <token>
    │
    ▼
Administração autenticada do CUPS
    │
    ▼
CUPS-Create-Local-Printer
    │
    ▼
URI de dispositivo file://
    │
    ▼
Corrida entre impressora/job
    │
    ▼
Arquivo alvo pertencente ao root

O exploit depende de corrida, portanto a execução bem-sucedida não é garantida em todas as tentativas.

Por que esta implementação existe

A reprodução publicada foi projetada como um harness de vulnerabilidade controlado. Em particular, ela assume uma instalação dedicada do CUPS e realiza operações de configuração/reset apropriadas para um ambiente de reprodução, mas que não são representativas de uma instalação de distribuição já em execução.

Esta implementação, em vez disso:

• Usa o serviço CUPS já existente no sistema.
• Usa o binário ipptool instalado.
• Usa a definição cups-create-local-printer.test do sistema quando disponível.
• Captura o token de autorização Local do CUPS.
• Reutiliza esse token para administração IPP autenticada.
• Reproduz a primitiva de impressora local / file://.
• Executa a sequência de impressora/job usada pela reprodução.
• Trata a verificação final de privilégios como a condição de sucesso.

Requisitos

Testado no laboratório do autor com:

• CUPS 2.4.16
• Python 3
• ipptool

A definição de teste é esperada em:

/usr/share/cups/ipptool/cups-create-local-printer.test

Verifique sua instalação com:

cupsd -v
which ipptool
find /usr/share/cups -name 'cups-create-local-printer.test' 2>/dev/null

Uso

Configure a identidade do atacante e o caminho alvo por meio de variáveis de ambiente:

export CUPS_ATTACKER="$USER"
export CUPS_TARGET="/tmp/cups-poc-target"
python3 exploit.py

Para uma reprodução controlada de escalonamento de privilégios, escolha um alvo apropriado para o seu ambiente de teste isolado.

O script também usa por padrão um alvo no estilo sudoers em /etc/sudoers.d/, portanto não o execute de forma descuidada em um sistema de produção.

Detalhes importantes da implementação

Divulgação do token Local

O PoC inicia um listener IPP e faz com que o CUPS se autentique contra ele. O listener inicialmente retorna um desafio 401 com:

WWW-Authenticate: Local trc="y"

A requisição subsequente contém:

Authorization: Local <token>

O token é então reutilizado contra o endpoint de administração local do CUPS.

Criação de impressora local

A reprodução usa:

CUPS-Create-Local-Printer

com uma URI de dispositivo file://.

Corrida / sequência de job

O loop de candidatos executa as operações de impressora repetidamente, incluindo:

CUPS-Add-Modify-Printer
CUPS-Accept-Jobs
Resume-Printer
Print-Job

A corrida é repetida intencionalmente porque uma única tentativa pode não vencer.

Relação com a reprodução publicada

Este repositório é uma adaptação, não a implementação upstream canônica.

A lógica de construção de requisições e a sequência de exploração são baseadas na reprodução publicada. As principais mudanças estão em executar contra uma instalação do CUPS do sistema já existente e remover suposições de configuração/reset do ambiente de reprodução.

Consulte o aviso de segurança e o repositório upstream do OpenPrinting CUPS para obter as informações autoritativas sobre a vulnerabilidade e a reprodução original.

Limitações

• O exploit depende de corrida.
• Configurações do CUPS específicas da distribuição podem afetar o comportamento.
• Permissões de arquivo e AppArmor/outro confinamento podem alterar o resultado.
• Uma divulgação bem-sucedida do token não implica, por si só, escalonamento de privilégios bem-sucedido.
• O PoC foi validado apenas no ambiente de laboratório controlado do autor.

Uso responsável

Não use isto contra instalações do CUPS sem autorização.

Para validação defensiva, os indicadores úteis incluem requisições IPP inesperadas para endpoints controlados pelo atacante, trocas incomuns de autenticação Local, criação de impressoras locais inesperadas e atividade suspeita de impressora/job.