Deep Dive: Die kritische CUPS-Schwachstelle in GNU/Linux-Systemen verstehen

Linux-Anwender haben es in letzter Zeit nicht leicht, da in den letzten Jahren mehrere schwerwiegende Schwachstellen das System auf verschiedene Weise beeinträchtigt haben. Sicherheitsforscher haben nun ein weiteres Bündel an Schwachstellen entdeckt, die alle das Common UNIX Printing System (CUPS) betreffen, das auf GNU/Linux-Systemen eingesetzt wird und einen potenziellen Weg für eine gefährliche Remote Code Execution (RCE) bietet.

Am 27. September 2024 veröffentlichte Simone Margaritelli von evilsocket.net kritische Informationen über mehrere ausnutzbare Schwachstellen in CUPS, für vier davon wurden in der Folge CVEs vergeben. Diese Zahl könnte noch steigen, aber zum Zeitpunkt der Erstellung dieses Artikels debattiert die Sicherheits-Community noch über den tatsächlichen Schweregrad dieser Entdeckungen. Während eine der CVEs, CVE-2024-47177, vom MITRE derzeit mit einem kritischen Schweregrad von 9,1 bewertet wird, setzt die erfolgreiche Manipulation dieser Befehlsinjektionslücke voraus, dass der CUPS-Dienst auf den Servern aktiviert ist und zudem Zugriff auf den UDP-Port 631 oder DNS-SD besteht. RedHat weist jedoch darauf hin, dass es möglich ist, CUPS auf einen anderen Port umzuleiten.

Margaritellis umfassende Analyse des Vorfalls offenbart eine heimtückische, komplexe Angriffskette, die trotz Meinungsverschiedenheiten in der Community nicht ignoriert werden sollte. Sie lehrt uns, dass scheinbar harmlose Abhängigkeiten tiefgreifend ausnutzbar sind, wenn ein Angreifer entschlossen genug ist und durch schlechte Codierungsmuster kleine Gelegenheitsfenster offen gelassen wurden.

Das CUPS-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Experten bisher erlebt haben. Werfen wir also einen Blick darauf und testen Sie dabei Ihr Wissen.

Die Schwachstelle: Remote Code Execution (RCE) via CUPS

Der Evilsocket-Blog bietet einen unübertroffenen, gründlichen Hintergrund zu diesen Exploits, und dies ist eine Quelle, die wir weiterhin genau verfolgen werden. Margaritelli zitiert in seinem Artikel auch eine ungenannte Quelle, die hinsichtlich der allgemeinen Sicherheit von Linux nicht optimistisch ist:

‍

„Aus einer allgemeinen Sicherheitsperspektive ist ein ganzes Linux-System, wie es heutzutage existiert, nur ein endloses und hoffnungsloses Chaos aus Sicherheitslücken, die nur darauf warten, ausgenutzt zu werden.”

Dies ist eine ernüchternde Erinnerung an die inhärenten Sicherheitsrisiken, die in Open-Source-Umgebungen weiterhin vorherrschen, ganz zu schweigen von der dringenden Notwendigkeit eines geschärften Sicherheitsbewusstseins und sicherer Programmierkenntnisse in der globalen Entwickler-Community.

Werfen wir einen Blick auf die CVEs:

• CVE-2024-47177
• CVE-2024-47176
• CVE-2024-47076
• CVE-2024-47175

‍Die Schwachstellenkette ist weit verbreitet und betrifft derzeit alle aktuellen und früheren Versionen der folgenden Pakete:

• distrotech/cups-filters
• OpenPrinting/cups-filters
• Cups-browsed
• libcupsfilters
• libppd
  
  

CUPS ist seit über zwei Jahrzehnten eine Legacy-Komponente von UNIX- und Linux-Betriebssystemen. Seine Funktion als Abhängigkeit für Druckdienste macht es anfällig für Netzwerkanfragen, was es zu einem erstklassigen Ziel für RCE-Schwachstellen macht.

In diesem Fall gibt es jedoch eine gewisse Raffinesse darin, wie die Angriffe kombiniert werden, um ein erfolgreiches Ergebnis zu erzielen. Im Wesentlichen handelt es sich um die Fähigkeit eines nicht authentifizierten, unentdeckten Angreifers, Internet Printing Protocol (IPP)-URLs durch bösartige zu ersetzen und zusätzlich Anweisungen zu ändern, die eine Befehlsinjektion in der "PPD (PostScript Printer Description)"-Datei verursachen können, einer Datei, die die Funktionen des neu hinzugefügten Druckers beschreibt. Dies führt zu einem Befehlsausführungsangriff, sobald ein Druckauftrag aktiviert wird, und beruht auf einer mangelnden Eingabevalidierung innerhalb der CUPS-Komponenten.

Darüber hinaus ist die Behebung dieser speziellen Schwachstelle ein zweischneidiges Schwert, wie Evilsocket aufzeigt. CUPS enthält den foomatic-rip-Filter, eine ausführbare Datei, die in der Vergangenheit als risikoreiche, ausnutzbare Komponente bekannt war. CVEs zu dieser Komponente reichen bis ins Jahr 2011 zurück, und obwohl festgestellt wurde, dass foomatic-rip zur Ausführung von Betriebssystembefehlen genutzt werden kann, führt eine Behebung zu Stabilitätsproblemen und zum Verlust der Unterstützung für viele ältere Drucker. Es ist ein komplexes Problem.

1. Angreifer initiiert den Angriff
   1. CVE-2024-47176: cups-browsed <= 2.0.1 ist anfällig, da es an den UDP-Port 631 unter Verwendung von INADDR_ANY bindet, was bedeutet, dass es jedem Paket von jeder Quelle vertraut. Dies ermöglicht es einem nicht authentifizierten Remote-Angreifer, ein bösartiges UDP-Paket mit einer manipulierten IPP-URL (die auf den vom Angreifer kontrollierten IPP-Server zeigt) zu senden und die Schwachstelle auszulösen. Der Rechner des Opfers glaubt nun, eine Verbindung zu einem neuen Drucker herzustellen, und sendet eine Anfrage nach Druckerattributen.
2. Opfersystem verarbeitet die Druckerattribute
   1. CVE-2024-47076: libcupsfilters <= 2.1b1 weist eine Schwachstelle in cfGetPrinterAttributes5 auf, die die von einem IPP-Server zurückgegebenen IPP-Attribute nicht ordnungsgemäß validiert oder bereinigt. Wenn cups-browsed das Paket verarbeitet, kann es dazu verleitet werden, bösartige Attribute zu lesen, die vom Angreifer gesendet wurden.
3. Opfersystem verbindet sich mit dem vom Angreifer kontrollierten IPP-Server
   1. CVE-2024-47175: libppd <= 2.1b1 validiert oder bereinigt in der Funktion ppdCreatePPDFromIPP2 die IPP-Attribute beim Speichern in einer temporären PPD-Datei nicht ordnungsgemäß. Dies ermöglicht es dem Angreifer, beliebige Daten in eine PPD-Datei einzuschleusen, einschließlich der FoomaticRIPCommandLine-Anweisung, die das Drucksystem später ausführen kann.
4. Opfersystem startet Druckauftrag und der Code des Angreifers wird ausgeführt
   CVE-2024-47177: cups-filters <= 2.0.1 ist anfällig, da der foomatic-rip-Filter beliebige Befehle über die FoomaticRIPCommandLine-Anweisung ausführt, wodurch der Angreifer Befehle als cups-browsed-Prozess ausführen kann. Der Angreifer wartet darauf, dass der Rechner des Opfers einen Druckauftrag startet. Sobald dies geschieht, wird der bösartige Code des Angreifers ausgeführt (Remote Code Execution).

Wie können Sie das RCE-Risiko mindern?

Unternehmen, die CUPS im Geschäftsbetrieb einsetzen, müssen die empfohlenen Sanierungsmaßnahmen von Evilsocket und RedHat befolgen. Dazu gehört unter anderem die Installation von Sicherheitspatches mit höchster Priorität.

Für Befehlsinjektionen im Allgemeinen lesen Sie unseren umfassenden Leitfaden.

Wenn Sie an weiteren kostenlosen Programmierrichtlinien interessiert sind, schauen Sie sich den Secure Code Coach an, der Ihnen hilft, bei den Best Practices für sicheres Programmieren auf dem Laufenden zu bleiben.