CVE-2026-105326

Funkcja przeglądania w serwerze CUPS nie filtruje sekwencji ucieczki ANSI z udostępnianych nazw drukarek. Może to pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowaną nazwę drukarki.

Podatność w bibliotece libppd używanej przez CUPS. Funkcja ppdCreatePPDFromIPP2 nie oczyszcza atrybutów IPP podczas tworzenia bufora PPD, co może prowadzić do przepełnienia bufora lub innych problemów.

Podatność w systemie drukowania CUPS w wersjach 2.4.8 i wcześniejszych. Podczas uruchamiania serwera cupsd z konfiguracją Listen wskazującą na dowiązanie symboliczne, proces może wykonać dowolne chmod na wskazanym pliku.

W CUPS wykryto błąd polegający na nieprawidłowej obsłudze określonych atrybutów IPP podczas przetwarzania osadzonych komentarzy zleceń w dokumentach, co powoduje nieobsłużone odwołanie do wskaźnika null. Nieuwierzytelniony atakujący mogący przesyłać zadania do współdzielonej kolejki drukarki może wysłać spreparowane żądanie IPP, aby zawiesić demon drukowania.

To CVE zostało odrzucone jako niebędące podatnością. Tworzenie kolejki szeregowej, która nadpisuje cups-files.conf, wymaga członkostwa w SystemGroups (lpadmin), co jest rolą administracyjną cupsd nadawaną przez superużytkownika. Nie przekroczono żadnej granicy uprawnień.

W schedulerze CUPS występują dwa porównania bez uwzględniania wielkości liter dla nazw użytkowników pochodzących z żądań, poza główną ścieżką autoryzacji (walidacja ACL drukarki i filtrowanie prywatnych atrybutów). Może to pozwolić na obejście kontroli dostępu opartej na nazwie użytkownika w niektórych konfiguracjach.

Funkcja cupsUTF32ToUTF8() w CUPS (plik cups/transcode.c) nie sprawdza długości źródła i może czytać poza końcem bufora źródłowego, co prowadzi do odczytu poza stertą. Jest to osiągalne przez parsowanie opisu dostawcy SNMP w backend/snmp-supplies.c z treścią kontrolowaną przez atakującego.

W OpenPrinting CUPS przed wersją 2.4.17 atakujący z sąsiedztwa sieciowego może wysłać spreparowaną odpowiedź SNMP do backendu SNMP CUPS, powodując odczyt poza granicami bufora stosu do 176 bajtów. Wyciekła pamięć jest konwertowana z UTF-16 na UTF-8 i przechowywana jako opisy zasobów drukarki, widoczne dla uwierzytelnionych użytkowników przez odpowiedzi IPP Get-Printer-Attributes i interfejs webowy CUPS. Luka została naprawiona w 2.4.17.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność, która pozwala lokalnemu nieuprzywilejowanemu użytkownikowi zmusić cupsd do uwierzytelnienia się w kontrolowanej przez atakującego usłudze IPP na localhost z tokenem `Authorization: Local ...`. Token ten umożliwia wykonywanie żądań /admin/ na localhost, a atakujący może utworzyć trwałą kolejkę drukarki z URI file:///... pomimo polityki FileDevice. Drukowanie do tej kolejki pozwala na nadpisanie dowolnego pliku jako root, co może prowadzić do eskalacji uprawnień.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność w sieciowo dostępnym cupsd z współdzieloną kolejką PostScript. Nieuwierzytelniony klient może wysłać zadanie drukowania, a serwer przetwarza wartość page-border z osadzonym znakiem nowej linii, co pozwala na wykonanie dowolnego pliku binarnego (np. /usr/bin/vim) jako użytkownik lp.