CVE-2026-34978
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W systemie OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych, notyfikator RSS umożliwia przejście ścieżki (path traversal) w parametrze notify-recipient-uri, co pozwala zdalnemu klientowi IPP na zapis plików XML RSS poza katalogiem CacheDir/rss, w dowolnym miejscu zapisywalnym przez użytkownika lp. Wykorzystując domyślne uprawnienia grupy (root:lp, tryb 0770), notyfikator działający jako lp może nadpisać pliki stanu zarządzane przez roota, co po restarcie cupsd powoduje błędy parsowania pamięci podręcznej zadań i utratę wcześniej zakolejkowanych zadań.
Ocena ryzyka
Atakujący może zdalnie usunąć lub uszkodzić pliki konfiguracyjne i stanowe systemu drukowania, co prowadzi do utraty zakolejkowanych zadań i potencjalnej destabilizacji usługi CUPS. Brak publicznie dostępnych łat zwiększa ryzyko eksploatacji w środowiskach produkcyjnych.
Rekomendacja
Należy natychmiast ograniczyć uprawnienia do katalogu CacheDir (np. zmieniając tryb na 0750) oraz zablokować dostęp do nieautoryzowanych URI RSS w konfiguracji CUPS. Do czasu wydania oficjalnej łatki rozważ tymczasowe wyłączenie notyfikatora RSS.
Oryginalny opis (angielski, źródło NVD)
OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, the RSS notifier allows .. path traversal in notify-recipient-uri (e.g., rss:///../job.cache), letting a remote IPP client write RSS XML bytes outside CacheDir/rss (anywhere that is lp-writable). In particular, because CacheDir is group-writable by default (typically root:lp and mode 0770), the notifier (running as lp) can replace root-managed state files via temp-file + rename(). This PoC clobbers CacheDir/job.cache with RSS XML, and after restarting cupsd the scheduler fails to parse the job cache and previously queued jobs disappear. At time of publication, there are no publicly available patches.