CVE-2026-4480-PoC

CVE-2026-4480 – Samba 打印任务名称命令注入

概述

CVE-2026-4480 是一个影响特定 Samba 打印配置（使用外部打印命令）的命令注入漏洞。

该漏洞存在的原因是 Samba 将用户控制的打印任务元数据插入到 shell 命令中，而没有正确转义 shell 元字符。在特定配置下，攻击者可以提供恶意的打印任务名称，导致在服务器上执行任意命令。

该问题尤其危险，因为某些打印机共享允许访客访问，使得无需身份验证即可利用。

根本原因

Samba 支持多种打印后端。一种传统选项通常称为 sysv 风格打印，在打印任务完成时执行外部命令。

管理员可以使用替换宏来配置命令，例如：

print command = /usr/local/bin/print-helper %s %J

其中：

• %s → 假脱机文件的路径
• %J → 客户端提供的打印任务名称

在修复之前，%J 值在被插入到通过系统 shell 执行的命令之前，只经过了最少的清理。

由于 shell 元字符保持不变，精心构造的任务名称可以改变预期的命令流程并执行攻击者控制的指令。

攻击流程

典型的攻击包含四个阶段：

1. 发现一个允许访客打印的打印机共享。
2. 使用 SMB 连接到打印机共享。
3. 提交一个包含恶意任务名称的打印任务。
4. 等待 Samba 调用配置的打印命令。

如果打印命令引用了 %J，攻击者的载荷将成为 shell 命令的一部分，并以 Samba 打印进程的权限执行。

为什么配置很重要

并非每个 Samba 安装都存在漏洞。

通常必须满足以下条件：

• Samba 配置为使用执行外部 shell 命令的打印后端。
• 打印命令引用了 %J。
• 打印机共享对攻击者可访问。
• 访客打印或弱认证允许提交任务。

使用基于 CUPS 打印的现代部署不会暴露此攻击路径，因为任务是通过 CUPS API 传递的，而不是 shell 命令。

影响

成功利用可能使攻击者能够：

• 执行任意操作系统命令
• 在 Samba 服务账户下获得 shell
• 访问打印子系统可用的文件
• 寻找额外的权限提升机会
• 在环境中横向移动

严重程度高度依赖于打印进程的权限以及周围系统的配置。

受影响版本

受影响的版本包括以下版本之前的版本：

• 4.22.10
• 4.23.8
• 4.24.3

使用后续版本的系统不受此问题影响。

缓解措施

推荐的缓解措施包括：

1. 将 Samba 升级到已修补的版本。
2. 如果不需要，从打印命令中移除 %J。
3. 在将用户控制的宏传递给 shell 命令之前，对其进行引号处理。
4. 尽可能迁移到 printing = cups。
5. 限制访客打印机访问并审计打印机共享权限。

检测机会

防御者应调查：

• 允许匿名访问的打印机共享
• 具有异常或格式错误的打印任务名称
• smbd 意外生成 shell 解释器
• 子进程，例如：

sh
bash
python
perl
nc
curl
wget

监控来自 Samba 服务的进程创建有助于识别利用尝试。

免责声明

此仓库仅用于教育目的和经授权的安全研究。

未经所有者明确许可，请勿将此代码用于任何系统、网络或服务。未经授权访问计算机系统是非法且不道德的。

请始终在隔离的实验室环境或专门用于安全培训的平台上进行测试。