Respuesta de Red Hat ante los puntos vulnerables de OpenPrinting CUPS: CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 y CVE-2024-47177

Resumen: todas las versiones de Red Hat Enterprise Linux (RHEL) se ven afectadas por los puntos vulnerables CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 y CVE-2024-47177, pero estos no tienen un impacto si se utilizan las configuraciones predeterminadas.

Red Hat tiene conocimiento de un grupo de puntos vulnerables (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 y CVE-2024-47177) en OpenPrinting CUPS, un sistema de impresión open source que prevalece en la mayoría de las distribuciones de Linux modernas, entre las que se incluye RHEL. Específicamente, CUPS proporciona herramientas para gestionar, descubrir y compartir impresoras entre las distribuciones de Linux. Al agrupar estos puntos vulnerables, los atacantes podrían lograr ejecutar código de manera remota para sustraer datos confidenciales o dañar los sistemas esenciales para la producción.

Red Hat califica la gravedad de estos problemas como "Importante".Si bien todas las versiones de RHEL se ven perjudicadas, es importante destacar que los paquetes afectados no son vulnerables en su configuración predeterminada. En este momento, hay cuatro puntos vulnerables y exposiciones comunes (CVE) asignados a dichos aspectos vulnerables, pero la cantidad exacta aún se está coordinando con la comunidad upstream y el investigador que descubrió el problema.

Aprovechamiento

Los atacantes podrán aprovecharse de los puntos vulnerables si tiene lugar esta cadena de eventos:

1. El servicio cups-browsed se activó o inició de forma manual
2. Un atacante tiene acceso a un servidor vulnerable, el cual puede:
   1. Permitir acceso no restringido, como el Internet público
   2. Ofrecer acceso a una red interna, donde las conexiones locales se consideran confiables
3. Un atacante nota un servidor IPP malicioso, e implementa una impresora maliciosa
4. Una posible víctima intenta imprimir desde el dispositivo malicioso
5. Un atacante ejecuta un código arbitrario en la máquina de la víctima

Detección

Los clientes de Red Hat deben utilizar el siguiente comando para determinar si se está ejecutando el servicio cups-browsed:

$ sudo systemctl status cups-browsed

.Si en el resultado se incluye "Active: inactive (dead)", entonces la cadena se detuvo y el sistema no es vulnerable.

Si el resultado es "running" o "enabled," y la normativa "BrowseRemoteProtocols" contiene el valor "cups" en el archivo de configuración /etc/cups/cups-browsed.conf, el sistema es vulnerable.

Disminución de riesgos

Para combatir estos puntos vulnerables, el proceso es sencillo: deben ejecutarse dos comandos, en especial en los entornos donde no es necesario imprimir.

A fin de detener la ejecución del servicio cups-browsed, un administrador debe utilizar el siguiente comando:

$ sudo  systemctl stop cups-browsed

También puede evitarse que el servicio cups-browsed se reinicie cuando el sistema arranque con:

$ sudo systemctl disable cups-browsed

La extensa comunidad de Linux y Red Hat se encuentran trabajando en la aplicación de parches para abordar estos problemas.

Reconocimientos

A Red Hat le gustaría agradecer a Simone "EvilSocket" Margaritelli por descubrir estos puntos vulnerables e informar sobre ellos y a Till Kamppeter (OpenPrinting) por ofrecer soporte adicional en la coordinación.

Más información

Lee el Boletín de seguridad de Red Hat sobre estos puntos vulnerables