Análisis profundo: Navegando por la vulnerabilidad crítica de CUPS en sistemas GNU/Linux

Los usuarios de Linux no han tenido una vida fácil últimamente, ya que en los últimos años se han reportado varias vulnerabilidades de alta gravedad que afectan al sistema de diversas formas. Los investigadores de seguridad tienen ahora otro grupo de vulnerabilidades que analizar, todas relacionadas con la función Common UNIX Printing System (CUPS) que afecta a los sistemas GNU/Linux con una posible vía para una potente ejecución remota de código (RCE).

El 27 de septiembre de 2024, Simone Margaritelli, de evilsocket.net, publicó información crítica sobre varias vulnerabilidades explotables en CUPS, a cuatro de las cuales se les asignaron CVE posteriormente. Esta cifra podría aumentar, pero en el momento de escribir este artículo, la comunidad de seguridad debate la gravedad real de estos descubrimientos. Aunque uno de los CVE, CVE-2024-47177, tiene actualmente una calificación de gravedad crítica de 9.1 por parte de MITRE, la manipulación exitosa de este fallo de inyección de comandos depende de servidores con el servicio CUPS habilitado y, además, requiere acceso al puerto UDP 631 o DNS-SD. RedHat señala, sin embargo, que es posible reasignar CUPS a un puerto diferente.

El análisis exhaustivo del incidente realizado por Margaritelli revela una cadena de ataques insidiosa y compleja que, a pesar de los desacuerdos de la comunidad, no debe ignorarse. Nos da una lección sobre cómo dependencias aparentemente inocuas pueden ser profundamente explotables si un actor de amenazas está lo suficientemente decidido y si se han dejado pequeñas ventanas de oportunidad debido a patrones de codificación deficientes.

El escenario de CUPS es un poco diferente de lo que muchos desarrolladores y profesionales de AppSec pueden haber experimentado anteriormente, así que echemos un vistazo y pongamos a prueba sus habilidades en el proceso.

La vulnerabilidad: Ejecución remota de código (RCE) a través de CUPS

El blog de Evilsocket proporciona un contexto inigualable y exhaustivo sobre estos exploits, y es un recurso que seguiremos de cerca. Margaritelli también cita en su artículo a una fuente anónima, que no parece optimista sobre la solidez general de la seguridad en Linux:

‍

«Desde un punto de vista de seguridad genérico, un sistema Linux completo tal como es hoy en día es solo un desastre interminable y desesperanzador de agujeros de seguridad esperando ser explotados.»

Este es un recordatorio aleccionador de los riesgos de seguridad inherentes que siguen prevaleciendo en los entornos de código abierto, por no mencionar la urgente necesidad de una mayor concienciación sobre la seguridad y habilidades de codificación segura entre la comunidad de desarrollo global.

Echemos un vistazo a los CVE:

• CVE-2024-47177
• CVE-2024-47176
• CVE-2024-47076
• CVE-2024-47175

‍La cadena de vulnerabilidad está muy extendida y actualmente afecta a todas las versiones actuales y anteriores de los siguientes paquetes:

• distrotech/cups-filters
• OpenPrinting/cups-filters
• Cups-browsed
• libcupsfilters
• libppd
  
  

CUPS ha sido un componente heredado de los sistemas operativos UNIX y Linux durante más de dos décadas. Su función como dependencia de servicios de impresión lo hace propenso a realizar solicitudes de red, lo que lo convierte en un objetivo principal para vulnerabilidades de tipo RCE.

En este caso, sin embargo, hay cierto ingenio en cómo se combinan los ataques para proporcionar un resultado exitoso. Se trata esencialmente de la capacidad de un atacante no autenticado y no detectado para reemplazar las URL del Protocolo de Impresión de Internet (IPP) por otras maliciosas, además de modificar directivas que pueden causar inyección de comandos en el archivo "PPD (PostScript Printer Description)", que es un archivo utilizado para describir las características de la impresora recién añadida. Esto resulta en un ataque de ejecución de comandos una vez que se activa un trabajo de impresión, y depende de una falta de validación de entrada dentro de los componentes de CUPS.

Además, solucionar esta vulnerabilidad en particular crea una especie de arma de doble filo, como señala Evilsocket. CUPS incluye el filtro foomatic-rip, un ejecutable con antecedentes de ser un componente de alto riesgo y explotable. Los CVE relacionados con este componente se remontan a 2011, y aunque se ha establecido que foomatic-rip puede aprovecharse para ejecutar comandos del SO, solucionarlo provoca problemas de estabilidad y pérdida de soporte para muchas impresoras antiguas. Es un problema complejo de superar.

1. El actor de amenazas inicia el ataque
   1. CVE-2024-47176: cups-browsed <= 2.0.1 es vulnerable porque se vincula al puerto UDP 631 usando INADDR_ANY, lo que significa que confía en cualquier paquete recibido de cualquier fuente. Esto permite a un atacante remoto no autenticado enviar un paquete UDP malicioso con una URL IPP manipulada (que apunta al servidor IPP controlado por el atacante), activando la vulnerabilidad. La máquina de la víctima ahora cree que se está conectando a una nueva impresora y envía una solicitud pidiendo los atributos de la impresora.
2. El sistema de la víctima procesa los atributos de la impresora
   1. CVE-2024-47076: libcupsfilters <= 2.1b1 tiene una vulnerabilidad en cfGetPrinterAttributes5, que no valida ni desinfecta correctamente los atributos IPP devueltos por un servidor IPP. Cuando cups-browsed procesa el paquete, puede ser engañado para leer atributos maliciosos enviados por el atacante.
3. El sistema de la víctima se conecta al servidor IPP controlado por el atacante
   1. CVE-2024-47175: libppd <= 2.1b1 en la función ppdCreatePPDFromIPP2 no valida ni desinfecta correctamente los atributos IPP al guardarlos en un archivo PPD (PostScript Printer Description) temporal. Esto permite al atacante inyectar datos arbitrarios en un archivo PPD, incluida la directiva FoomaticRIPCommandLine, que el sistema de impresión puede ejecutar más tarde.
4. El sistema de la víctima inicia el trabajo de impresión y se ejecuta el código del atacante
   CVE-2024-47177: cups-filters <= 2.0.1 es vulnerable porque el filtro foomatic-rip ejecuta comandos arbitrarios a través de la directiva FoomaticRIPCommandLine, permitiendo al atacante ejecutar comandos como el proceso cups-browsed. El atacante espera a que la máquina de la víctima inicie un trabajo de impresión. En el momento en que esto sucede, el código malicioso del atacante se ejecutará (Ejecución Remota de Código).

¿Cómo puede mitigar el riesgo de RCE?

Para las empresas que utilizan CUPS como parte de sus operaciones comerciales, deben seguir los consejos de remediación recomendados por Evilsocket y RedHat. Esto incluye, entre otras cosas, aplicar parches de seguridad como una prioridad de nivel de emergencia.

Para la inyección de comandos en general, consulte nuestra guía completa.

Si te interesa recibir más guías de programación gratuitas, echa un vistazo a Secure Code Coach para mantenerte al día con las mejores prácticas de programación segura.