CVE-2026-34990

Escalação de privilégios local no CUPS 2.4.16 por meio de escrita arbitrária de arquivos através de CUPS_CREATE_LOCAL_PRINTER.

Vulnerabilidade

O CUPS permite criar impressoras locais com um device-uri definido para um caminho file://. O envio de um trabalho de impressão com document-format: application/vnd.cups-raw e compression: gzip faz com que o cupsd descompacte os dados do trabalho e os grave diretamente nesse caminho — como o usuário sob o qual o cupsd é executado (normalmente root ou uma conta de serviço altamente privilegiada).

O token de autenticação local necessário para operações administrativas pode ser capturado apontando o cups-create-local-printer.test do ipptool para um servidor IPP falso em localhost. Quando o CUPS se conecta para autenticar, ele envia o cabeçalho Authorization: Local <token>, que você intercepta antes que o CUPS possa verificá-lo.

Como funciona

1. Inicie um servidor IPP falso em localhost:9189
2. Execute o ipptool com cups-create-local-printer.test apontado para o servidor falso — o CUPS envia seu token de autenticação local para autenticar
3. Responda com 401 WWW-Authenticate: Local trc="y" na primeira conexão para capturar o token de forma limpa
4. Use o token para criar uma impressora com device-uri: file:///etc/sudoers.d/<user>-pwn
5. Configure a impressora (add/modify, accept-jobs, resume) e envie uma entrada sudoers compactada com gzip como trabalho de impressão
6. O CUPS descompacta os dados do trabalho e os grava no caminho de destino
7. sudo -n /bin/bash

A chamada create_local_printer mantém seu socket aberto durante a corrida — isso mantém o registro da impressora em andamento enquanto as operações administrativas e o trabalho de impressão chegam.

Requisitos

• CUPS 2.4.16 em execução em localhost:631
• ipptool instalado com cups-create-local-printer.test (instalação padrão do CUPS)
• cupsd em execução com acesso de escrita ao caminho de destino
• Python 3.8+

Uso

# writes /etc/sudoers.d/<your-username>-pwn by default
python3 exploit.py

# custom target
CUPS_TARGET=/etc/sudoers.d/youruser-pwn CUPS_ATTACKER=youruser python3 exploit.py

Edite SUDOERS_LINE no script para usar seu nome de usuário real — o padrão é aporter.

O exploit tenta até 12 vezes. Cada tentativa exclui e recria a impressora para redefinir o estado.

Testado em

• Ubuntu 24.04, CUPS 2.4.16

Aviso legal

Apenas para testes de segurança autorizados e pesquisa.