Zranitelnost v CUPS umožňuje vzdálené spuštění kódu

Nevypínejte SELinux, tohle je přesně ten typ chyby se kterým si hravě poradí. Když už tak vypnout jen pro službu, která "zlobí".

Testnul som na mag9 a výsledok je:
Loaded: loaded (/usr/lib/sys­temd/system/cups-browsed.service; disabled; preset: disabled)
Active: inactive (dead)

Takže......

27. 9. 2024, 10:47 editováno autorem komentáře

Pro získání stavu, tedy zda služba běží či neběží, není potřeba systemctl volat s vyššími právy, postačí tedy:
systemctl status cups-browsed

Ten cups-browsed je teda pěkná sračka - i ten zdroják má tolik chyb... Toto by nikdo neměl mít puštěné.

Tak na to, jaké kolem toho bylo hype, tak teda dost trapná nuda no.

Takové nudě se nebráním...

Možná něco nechápu, ale přijde mi to trochu zmatené:

1. Útočník musí inzerovat službu – nestačí, když se oběť třeba připojí nezabezpečeně k tiskárně, a útočník v síti to spojení unese k sobě? Potom by cups-browsed asi nepomohlo. Ale možná je tu nějaké specifikum, třeba potřeba nějaké specifické konfigurace tiskárny.
2. Může to být na veřejném internetu – jak se to z veřejného Internetu dostane až ke koncovému uživateli? Hádám, že půjde o nějaký autokonfigurační protokol, který bude určen jen pro lokální síť.
3. „Podle služby Shodan je takto z internetu dostupných minimálně 75 000 instancí tiskového démona CUPS.“ – předchozí popis zněl jako útok na klienta, toto jsou servery, ne? Nebo řešíme scénář, kdy chybí dostatečná autentizace a útočník si sám nakonfiguruje zákeřnou tiskárnu a pošle do ní job?

1) Pokud to chapu dobre, tak ta vopicarna (cups-browsed) si odchytava tiskarny ktere se hlasi na tema "halo tady ja, tiskarna". Unaset spojeni je pak zbytecna prace navic.

2) kdyz ma nekdo tuhle vec pustenou do netu, tak proste na tu adresu dorucis prislusne pakety s prislusnym ohlasenim tiskarny, a ono to ty pakety proste prijme a zpracuje

3) viz vejs, tohle ti bezi typicky na klientovi, ale je to servisa = klient je v pozici serveru. Sshd je taky vec ktera ti muze bezet i na klientovi ale je to servisa. Na serveru tohle naopak typicky mit nebudes protoze nechces aby ti nejak sam pridaval tiskarny.

Tuhle to mas popsany https://github.com/OpenPrinting/cups-browsed

cups-browsed je od toho, aby skenovalo dostupné tiskárny v síti a ty nabízelo k nastavení a využití. Povaha toho útoku je, že se můžete vydávat za tiskárnu, kterou chce uživatel použít a během toho můžete v systému vzdáleně pouštět kód. Je to tedy útok na klienta, ne na server poskytující tiskárnu.

Zní to blbě, ale je tam mnoho podmínek, které se musí splnit. Zaprvé cups-browsed není prakticky na žádné serverové distribuci ani předinstalovaný, na desktopových je, ale by default nebývá aktivovaný. Útočník musí mít přístup do lokální sítě. V systému musí být otevřený firewall. Je tam vyžadována interakce uživatele, který musí tu podvrženou tiskárnu použít. No a jestli jsem to dobře pochopil, tak i když se útočníkovi podaří vzdáleně kód pustit, běží to pod uživatelem lp a SELinux dopad prakticky kompletně eliminuje.

Jako člověku, který to nahlásil, patří dík za to, že to na blogu velmi pěkně popsal a dal si práci to řešit s vývojáři, ale přijde mi trochu jako drama queen, protože před zveřejněním to vypadalo, že pomalu skončí svět, hromada pláče nad tím, že vývojáři na tak zásadní zranitelnost nereagovali dostatečně rychle... a ve výsledku z toho je celkem běžné CVE.

Díky za upřesnění. Když projdu svoje otázky:

1. Stále nevím, jestli když útočník unese spojení s legitimní tiskárnou (nebo náležitě upraví SW tiskárny), jestli náhodou nemůže udělat útok tak jako tak, navzdory zakázanému cups-browsed.
2. Takže to jsem asi pochopil správně.
3. No právě, vystavený server sám o sobě IMHO nic neznamená…

1. jestli to jde udělat, netuším. Ukázkové exploity k tomuto případu pracují s vytvořením nové falešné tiskárny, která se musí na klientu přidat a použít.

To je zajímavé jak to někteří bagatelizujou, ale pořád se jedná o to, že někdo kontaktuje nějakou mašinu a předá ji payload, a pak ta mašina sama kontaktuje "útočníka" a ten ji předá co má "spustit"? Možná je to velké haló pro nic, ale upřímně ten cups je v tak špatném stavu, že se nedivím autorovi, že už na linuxu nikdy nic tisknout nechce.

Jako díval se někdo na ten cups-browsed kód? Vždyť tam je chyb jak máku a i toho by se přece dalo zneužít. A podezřelé je, že nad tím fuzzing nikdo nedělá a přitom je to služba co poslouchá a neumí ani bezpečně zpracovat vstupní data...

Myslím, že to nikdo nebagatelizuje, ale zrovna ten přístup, kdy někdo tvrdí, že na základě tohoto už na Linuxu nikdy nic tisknout nechce, tomu opravdu nepomáhá. CUPS a jeho síťové protokoly jsou tu skoro 30 let. Samozřejmě, že za tu dobu jejich návrh zastaral a nabalilo se na to mnoho obezliček, ale s tím holt musíme pracovat. Kompatibilita v tomto případě vyhrává. Nevyhodí se miliony tiskáren, abychom mohli tisknout bezpečně.

Proto se dělá CUPS 3.0, kde se mají ty PPD věci izolovat do samostatného procesu, který nebude nikam moct. A do té doby se bude omezovat, co to v systému může udělat. cups-browsed je plný blech, ale taky kde je dnes by default povolený? Ve Fedora Server nebo RHELu není ani předinstalovaný, ve Fedora Workstation je, ale není aktivovaný. I když by se všechny podmínky splnily a útočník byl schopný na vašem počítači spusti svůj kód, bude ho pouštět pod neprivilegovaným uživatelem lp, který se nikam pořádně nedostane. Může vám tak akorát vytisknout všechny papíry ze zásobníku.

Ve výsledku mají ta CVE hodnocení "important". To není dobré brát na lehkou váhu, autorovi patří dík za to, kolik si s tím dal práce, a opravit to, ale dělat z toho drama opravdu není potřeba. Jen náš tým řeší desítky CVE s ratingem "important" každý rok a je to "business as usual".

pak ta mašina sama kontaktuje "útočníka"

Sama nekontaktuje. Uživatel tu tiskárnu musí vybrat a tisknout na ní.

Aniž bych chtěl bagatelizovat prů*er CUPS, tak když si uvědomím kvalitu firmwaru v mnoha tiskárnách a co všechno by na nich spolu s tím jejich pofidérním uzavřeným printserverem mohlo běžet... Tím méně se mi líbí hloupá móda cpát všechno na WiFi, propojovat s cloudem (třeba za účelem ověření pravosti toneru... fuj a třikrát fuj takovým výrobcům).

Mno ... malo ktera tiskarna (mluvim o novych) umi tls 1.2. O 1.3 si muzes nechat zdat. Vrcholem bezpecneho hashovani je md5. Vsechny tiskarny maji bydefault zapnute vsechny kravinia na tema broadcasty/mu­ticasty/bonjur/a­iprint/ws-d/... atd atd. Na 99% z nich to nikdo nikdy nevypne, protoze to uzivatel ani nevi.

100% tiskaren nema bydefault zadnou ochranu ani na tema ze komunikuje jen v ramci subnetu ve kterym je.

Ty tiskarny ktery umej smb (vsemozny mutifunkce) dost casto umej .. jen smb1.

100% tiskaren je bydefault zcela bez hesla, tudiz si na nich muzes nastavit co chces, a muzes si je kjlidne i preflashovat. 99% z nich takhle zustane navzdy.

Kdyz proscanujes i jen maly okoli verejnych IPcek, najdes tiskaren desitky.

Mimochodem, s widlema to bude IMO jeste veselejsi, protoze tam to proste funguje tak, ze kdyz si pridas tiskarnu kterou to najde, tak widle vemou tu binarku kterou jim tiskarna nabidne a spustej ji.