hadicanim
Aktif Üye
BT güvenliği araştırmacısı Simone Margaritelli, Evilsocket adlı çevrimiçi kullanıcıyla birlikte, açık kaynaklı CUPS yazdırma sisteminde kötü amaçlı kod enjekte etmek için kötüye kullanılabilecek dört güvenlik açığı keşfetti. Bunu yapabilmek için saldırganların servise ağ paketleri gönderebilmesi gerekir.
Reklamcılık
Margaritelli bulgularını duygusal bir raporda özetliyor. Sonuçta ağdaki kimliği doğrulanmamış saldırganlar, fark edilmeden mevcut yazıcıların IPP URL'lerini kötü amaçlı olanlarla değiştirebilir veya yenilerini yükleyebilir. Bu, bilgisayarda bir yazdırma işi başlatıldığında rastgele komutların yürütülmesine neden olur.
Güvenlik açıklarının zincirlenmesi
Bileşen bardaklara göz atıldı UDP bağlantı noktası 631'i global olarak dinler ve tüm kaynaklardan gelen her pakete güvenir; Get-Printer-AttributesMargaritelli, saldırganın kontrol ettiği bir URL'ye yönelik IPP isteğini açıklıyor. libcupsfilters Bir IPP sunucusu tarafından döndürülen IPP niteliklerini kontrol etmeyin veya filtrelemeyin; bu, saldırganın aktardığı verilerin CUPS sisteminin geri kalanına sızmasına izin verir. libppd Ayrıca geçici bir PPD dosyasına yazarken IPP niteliklerini kontrol etmez veya filtrelemez; bu, saldırganın kontrol ettiği verilerin bu dosyada yer alması anlamına gelir. Sonunda izin verildi Fomatik rip kullanarak herhangi bir komutu yürütmek FoomaticRIPCommandLine-PPD parametreleri.
Başarılı bir saldırı için kötü niyetli aktörlerin 631 numaralı bağlantı noktasına bir UDP paketi göndermesi gerekir; kimlik doğrulama gerekmez. Bu, halka açık internetten de mümkün: Margaritelli, birkaç hafta boyunca tüm internetin adres aralığını günde birkaç kez taradığını belirtiyor. Hazırlanan UDP paketlerini 631 numaralı bağlantı noktasına gönderdi ve savunmasız bir kurulumun göstergesi olarak hangi adreslerin geri bağlantı kurduğunu kaydetti. BT güvenliği araştırmacısı, 200.000 ila 300.000 arasında yoğun zamanlarda yüz binlerce cihazdan bağlantı aldığını açıklıyor. Bu da CUPS hizmetinin internette açık olmadığı varsayımının artık geçerli olmadığı anlamına geliyor. Margaritelli, başka bir saldırı vektörü olarak yerel ağdaki sahte Zeroconf, mDNS veya DNS-SD reklamlarını belirtiyor.
CUPS boşluklarını kapatın
BT araştırmacısı en azından bunu bir karşı önlem olarak öneriyor bardaklara göz atıldı-Devre dışı bırakma ve kaldırma hizmeti – bu, yazıcıları otomatik olarak aramak ve eklemek için kullanılır. Etkilenenlerin sistemdeki CUPS paketlerini güncellemesi gerekir. Güncellemeler mümkün değilse veya hizmet gerekiyorsa, UDP bağlantı noktası 631'e giden tüm trafik ve mümkünse tüm DNS-SD trafiği engellenmelidir. Margaritelli, biraz kışkırtıcı bir şekilde, CUPS'u kişisel olarak tamamen kaldıracağını ve bir daha asla yazdırma için kullanmayacağını ve ayrıca sıfırconf, avahi ve bonjour dinleyicileriyle ilgileneceğini ekliyor.
Güvenlik açığının ciddiyetine göre ayrı ayrı CVE girişleri NIST güvenlik açığı veritabanına girilmiştir:
Örneğin Ubuntu, boşlukları kapatan güncellenmiş CUPS paketlerini yayınladı. Tüm iyi bilinen dağıtımlar da kısa süre içinde güncellemeleri dağıtıyor olmalı veya zaten bunu yapıyor olmalıdır. Yöneticiler hızlı bir şekilde CUPS hizmetlerine en azından halka açık İnternet üzerinden erişilemediğinden emin olmalı ve mevcut güncellemeleri yüklemelidir.
Bu haftanın Pazartesi gününden bu yana, geliştiriciler tarafından duyulmanın bile sıkıcı ve yorucu sürecinden çok şikayet ediyor.
Geçen yıl CUPS'ta da bir güvenlik açığı keşfedildi. Ağdaki saldırganlar burada bir güvenlik açığı bulmayı başardılar bardak filtresi işletim sistemine iletilen parametrelerin yetersiz filtrelenmesinden kaynaklanan kötü amaçlı kod enjekte etmek.
(DMK)
Reklamcılık
Margaritelli bulgularını duygusal bir raporda özetliyor. Sonuçta ağdaki kimliği doğrulanmamış saldırganlar, fark edilmeden mevcut yazıcıların IPP URL'lerini kötü amaçlı olanlarla değiştirebilir veya yenilerini yükleyebilir. Bu, bilgisayarda bir yazdırma işi başlatıldığında rastgele komutların yürütülmesine neden olur.
Güvenlik açıklarının zincirlenmesi
Bileşen bardaklara göz atıldı UDP bağlantı noktası 631'i global olarak dinler ve tüm kaynaklardan gelen her pakete güvenir; Get-Printer-AttributesMargaritelli, saldırganın kontrol ettiği bir URL'ye yönelik IPP isteğini açıklıyor. libcupsfilters Bir IPP sunucusu tarafından döndürülen IPP niteliklerini kontrol etmeyin veya filtrelemeyin; bu, saldırganın aktardığı verilerin CUPS sisteminin geri kalanına sızmasına izin verir. libppd Ayrıca geçici bir PPD dosyasına yazarken IPP niteliklerini kontrol etmez veya filtrelemez; bu, saldırganın kontrol ettiği verilerin bu dosyada yer alması anlamına gelir. Sonunda izin verildi Fomatik rip kullanarak herhangi bir komutu yürütmek FoomaticRIPCommandLine-PPD parametreleri.
Başarılı bir saldırı için kötü niyetli aktörlerin 631 numaralı bağlantı noktasına bir UDP paketi göndermesi gerekir; kimlik doğrulama gerekmez. Bu, halka açık internetten de mümkün: Margaritelli, birkaç hafta boyunca tüm internetin adres aralığını günde birkaç kez taradığını belirtiyor. Hazırlanan UDP paketlerini 631 numaralı bağlantı noktasına gönderdi ve savunmasız bir kurulumun göstergesi olarak hangi adreslerin geri bağlantı kurduğunu kaydetti. BT güvenliği araştırmacısı, 200.000 ila 300.000 arasında yoğun zamanlarda yüz binlerce cihazdan bağlantı aldığını açıklıyor. Bu da CUPS hizmetinin internette açık olmadığı varsayımının artık geçerli olmadığı anlamına geliyor. Margaritelli, başka bir saldırı vektörü olarak yerel ağdaki sahte Zeroconf, mDNS veya DNS-SD reklamlarını belirtiyor.
CUPS boşluklarını kapatın
BT araştırmacısı en azından bunu bir karşı önlem olarak öneriyor bardaklara göz atıldı-Devre dışı bırakma ve kaldırma hizmeti – bu, yazıcıları otomatik olarak aramak ve eklemek için kullanılır. Etkilenenlerin sistemdeki CUPS paketlerini güncellemesi gerekir. Güncellemeler mümkün değilse veya hizmet gerekiyorsa, UDP bağlantı noktası 631'e giden tüm trafik ve mümkünse tüm DNS-SD trafiği engellenmelidir. Margaritelli, biraz kışkırtıcı bir şekilde, CUPS'u kişisel olarak tamamen kaldıracağını ve bir daha asla yazdırma için kullanmayacağını ve ayrıca sıfırconf, avahi ve bonjour dinleyicileriyle ilgileneceğini ekliyor.
Güvenlik açığının ciddiyetine göre ayrı ayrı CVE girişleri NIST güvenlik açığı veritabanına girilmiştir:
Örneğin Ubuntu, boşlukları kapatan güncellenmiş CUPS paketlerini yayınladı. Tüm iyi bilinen dağıtımlar da kısa süre içinde güncellemeleri dağıtıyor olmalı veya zaten bunu yapıyor olmalıdır. Yöneticiler hızlı bir şekilde CUPS hizmetlerine en azından halka açık İnternet üzerinden erişilemediğinden emin olmalı ve mevcut güncellemeleri yüklemelidir.
Bu haftanın Pazartesi gününden bu yana, geliştiriciler tarafından duyulmanın bile sıkıcı ve yorucu sürecinden çok şikayet ediyor.
Geçen yıl CUPS'ta da bir güvenlik açığı keşfedildi. Ağdaki saldırganlar burada bir güvenlik açığı bulmayı başardılar bardak filtresi işletim sistemine iletilen parametrelerin yetersiz filtrelenmesinden kaynaklanan kötü amaçlı kod enjekte etmek.
(DMK)