CVE-2026-87876

Funkcja przeglądania w serwerze CUPS nie filtruje sekwencji ucieczki ANSI z udostępnianych nazw drukarek. Może to pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowaną nazwę drukarki.

Podatność w bibliotece libppd używanej przez CUPS. Funkcja ppdCreatePPDFromIPP2 nie oczyszcza atrybutów IPP podczas tworzenia bufora PPD, co może prowadzić do przepełnienia bufora lub innych problemów.

Podatność w systemie drukowania CUPS w wersjach 2.4.8 i wcześniejszych. Podczas uruchamiania serwera cupsd z konfiguracją Listen wskazującą na dowiązanie symboliczne, proces może wykonać dowolne chmod na wskazanym pliku.

W CUPS wykryto błąd polegający na nieprawidłowej obsłudze określonych atrybutów IPP podczas przetwarzania osadzonych komentarzy zleceń w dokumentach, co powoduje nieobsłużone odwołanie do wskaźnika null. Nieuwierzytelniony atakujący mogący przesyłać zadania do współdzielonej kolejki drukarki może wysłać spreparowane żądanie IPP, aby zawiesić demon drukowania.

W CUPS wykryto błąd wstrzyknięcia argumentów. Gdy skonfigurowane są powiadomienia e-mail, scheduler CUPS przyjmuje żądania subskrypcji drukarki zawierające mailto notify-recipient-uri. Notyfikator mailto przekazuje adres odbiorcy do skonfigurowanego programu sendmail bez zapewnienia, że nie może być zinterpretowany jako opcje wiersza poleceń. Zdalny atakujący mogący połączyć się z usługą CUPS może podać spreparowaną wartość odbiorcy zaczynającą się od "-", aby wpłynąć na zachowanie sendmail.

To CVE zostało odrzucone jako niebędące podatnością. Tworzenie kolejki szeregowej, która nadpisuje cups-files.conf, wymaga członkostwa w SystemGroups (lpadmin), co jest rolą administracyjną cupsd nadawaną przez superużytkownika. Nie przekroczono żadnej granicy uprawnień.

Funkcja cupsUTF32ToUTF8() w CUPS (plik cups/transcode.c) nie sprawdza długości źródła i może czytać poza końcem bufora źródłowego, co prowadzi do odczytu poza stertą. Jest to osiągalne przez parsowanie opisu dostawcy SNMP w backend/snmp-supplies.c z treścią kontrolowaną przez atakującego.

W OpenPrinting CUPS przed wersją 2.4.17 atakujący z sąsiedztwa sieciowego może wysłać spreparowaną odpowiedź SNMP do backendu SNMP CUPS, powodując odczyt poza granicami bufora stosu do 176 bajtów. Wyciekła pamięć jest konwertowana z UTF-16 na UTF-8 i przechowywana jako opisy zasobów drukarki, widoczne dla uwierzytelnionych użytkowników przez odpowiedzi IPP Get-Printer-Attributes i interfejs webowy CUPS. Luka została naprawiona w 2.4.17.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność, która pozwala lokalnemu nieuprzywilejowanemu użytkownikowi zmusić cupsd do uwierzytelnienia się w kontrolowanej przez atakującego usłudze IPP na localhost z tokenem `Authorization: Local ...`. Token ten umożliwia wykonywanie żądań /admin/ na localhost, a atakujący może utworzyć trwałą kolejkę drukarki z URI file:///... pomimo polityki FileDevice. Drukowanie do tej kolejki pozwala na nadpisanie dowolnego pliku jako root, co może prowadzić do eskalacji uprawnień.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność w sieciowo dostępnym cupsd z współdzieloną kolejką PostScript. Nieuwierzytelniony klient może wysłać zadanie drukowania, a serwer przetwarza wartość page-border z osadzonym znakiem nowej linii, co pozwala na wykonanie dowolnego pliku binarnego (np. /usr/bin/vim) jako użytkownik lp.