cups-browsed遠程代碼執行漏洞 (CVE-2024-47176) 安全風險通告
責編：gltian ｜2024-09-29 14:41:05| 漏洞概述 | |||
| 漏洞名稱 | cups-browsed 遠程代碼執行漏洞 | ||
| 漏洞編號 | QVD-2024-40837,CVE-2024-47176 | ||
| 公開時間 | 2024-09-26 | 影響量級 | 十萬級 |
| 奇安信評級 | 高危 | CVSS 3.1分數 | 7.5 |
| 威脅類型 | 代碼執行 | 利用可能性 | 高 |
| POC狀態 | 已公開 | 在野利用狀態 | 未發現 |
| EXP狀態 | 未公開 | 技術細節狀態 | 已公開 |
| 危害描述：該漏洞可能導致攻擊者完全控制受影響的系統，包括訪問敏感數據、執行任意命令或進行進一步的網絡攻擊。
利用條件：利用此漏洞需要啟用cups-browsed服務（Ubuntu Desktop環境下默認啟用），且需要受害者主動使用該惡意IPP服務器配置的打印機設備進行打印操作。 |
|||
01?漏洞詳情
影響組件
CUPS是一個開源的打印系統，用于Linux和其他類UNIX操作系統。CUPS使用Internet Printing Protocol (IPP)來實現本地和網絡打印機的打印功能。cups-browsed是一個開源的打印服務組件，它是Common UNIX Printing System (CUPS)的一部分。cups-browsed負責在本地網絡上自動發現和添加打印機，使用mDNS（多播DNS）或DNS-SD（DNS服務發現）協議來偵測網絡上的打印設備。它使得用戶能夠無需手動配置即可使用網絡打印機。最近披露的漏洞涉及CUPS的幾個關鍵組件，具體如下：
| 漏洞編號 | 危害描述 | CVSS 3.1分數 |
| CVE-2024-47175 | libppd庫中存在輸入驗證不當漏洞，未經驗證的IPP數據可能被寫入臨時PPD文件，導致攻擊者注入惡意數據。 | 8.6 |
| CVE-2024-47076 | libcupsfilters庫中存在輸入驗證不當漏洞，攻擊者可以發送惡意數據至CUPS系統。 | 8.6 |
| CVE-2024-47177 | cups-filters庫中存在命令注入漏洞，攻擊者可以通過FoomaticRIPCommandLine PPD參數執行任意命令。 | 9.1 |
漏洞描述
近日，奇安信CERT監測到官方修復cups-browsed 遠程代碼執行漏洞(CVE-2024-47176)，該漏洞是由于cups-browsed服務在處理網絡打印任務時，會綁定到UDP端口631的INADDR_ANY地址，從而信任來自任何來源的數據包。這會導致未經身份驗證的遠程攻擊者可以利用該漏洞發送特制的數據包，觸發惡意請求到攻擊者控制的URL，從而在目標系統上執行任意命令。利用此漏洞需要啟用cups-browsed服務（Ubuntu Desktop環境下默認啟用），且需要受害者主動使用該惡意IPP服務器配置的打印機設備進行打印操作。目前該漏洞技術細節和POC已公開，鑒于該漏洞影響范圍較大，建議客戶盡快做好自查及防護。
02?影響范圍
影響版本
CVE-2024-47176 cups-browsed <= 2.0.1
CVE-2024-47076 libcupsfilters <= 2.1b1
CVE-2024-47175 libppd <= 2.1b1
CVE-2024-47177 cups-filters <= 2.0.1
03?處置建議
修復建議
由于公開披露時間較早，目前尚無針對該漏洞的補丁。
為了在補丁發布之前緩解這些缺陷的影響，建議禁用并從易受攻擊的系統中移除cups-browsed。此外，CUPS 設置為監聽 UDP 端口 631，因此建議阻止所有到 UDP 端口 631 的流量。
在高可用性場景中，建議將 BrowseRemoteProtocols 指令值從默認的“dnssd cups”更改為“none”。
檢測方法
檢查系統是否易受攻擊，驗證cups-browsed的狀態：
$ sudo systemctl status cups-browsed
如果結果顯示“Active: inactive (dead)”，則系統不受漏洞影響。如果服務正在“運行”或“已啟用”，則系統易受攻擊。
04?參考資料
[1]https://www.tenable.com/blog/cve-2024-47076-cve-2024-47175-cve-2024-47176-cve-2024-47177-faq-cups-vulnerabilities
[2]https://github.com/OpenPrinting/cups-browsed/security/advisories/GHSA-rj88-6mr5-rcw8
[3]https://access.redhat.com/security/vulnerabilities/RHSB-2024-002