OpenPrinting CUPS の脆弱性に対する Red Hat の対応: CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177

TL;DR: Red Hat Enterprise Linux (RHEL) のすべてのバージョンで、CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、および CVE-2024-47177 の影響を受けますが、デフォルトの設定では影響はありません。

Red Hat は、OpenPrinting CUPS 内で一連の脆弱性 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177) が発生していることを認識しました。OpenPrinting CUPS とは、RHEL など、最新の Linux ディストリビューションで普及しているオープンソースの印刷システムです。具体的には、CUPS は Linux ディストリビューションのプリンターを管理、検出、共有するためのツールを提供します。この一連の脆弱性を連鎖させることで、攻撃者によるリモートコード実行が可能になるため、機密データの窃盗や重要な実稼働システムの障害につながる可能性があります。

Red Hat はこれらの問題の重大度を「重要」と評価しています。 すべての RHEL のバージョンに影響がありますが、影響を受けるパッケージであってもデフォルト設定のものは影響を受けないことに注意してください。現時点では、これらの脆弱性には 4 つの CVE が割り当てられていますが、正確な数については、アップストリームコミュニティーおよび問題を発見した研究者と連携しているところです。

不正使用

次の一連のイベントを通じて、これらの脆弱性が悪用される可能性があります。

1. cups-browsed サービスが手動で有効化または開始された
2. 攻撃者が脆弱なサーバーにアクセスする
   1. 公共のインターネットなど、アクセスが無制限に許可されている、または
   2. ローカル接続が信頼されている内部ネットワークに対するアクセス権を取得する
3. 攻撃者が悪意のある IPP サーバーを広告し、悪意のあるプリンターをプロビジョニングする
4. ユーザーが悪意のあるデバイスから印刷しようとする
5. 攻撃者が被害者のマシンで任意のコードを実行する

検出

Red Hat のお客様には、cups-browsed が実行されているかどうかを確認するために、次のコマンドを使用することを推奨します。

$ sudo systemctl status cups-browsed

結果に “Active: inactive (dead)” との表示が含まれる場合、不正使用の連鎖は停止されており、システムは脆弱性の影響を受けていません。

結果が “running” または “enabled” で、 “BrowseRemoteProtocols” ディレクティブの /etc/cups/cups-browsed.conf の設定ファイルに “cups” の値が含まれる場合、システムはこれらの脆弱性の影響を受けます。

軽減策

特に印刷が不要な環境でこれらの脆弱性を軽減するには、2 つのコマンドを実行するだけで済みます。

管理者は次のコマンドを使用して、実行中の cups-browsed サービスを停止する必要があります。

$ sudo  systemctl stop cups-browsed

次のコマンドを実行して、cups-browsed サービスが再起動時に起動しないようにすることもできます。

$ sudo systemctl disable cups-browsed

Red Hat および Linux コミュニティー全体で現在、これらの問題に対処するためのパッチの作成に取り組んでいます。

謝辞

Red Hat は、これらの脆弱性を発見して報告してくださった Simone “EvilSocket” Margaritelli 氏と、追加の調整サポートをしてくださった Till Kamppeter (OpenPrinting) 氏に感謝の意を表します。

詳細情報

こちらの脆弱性については Red Hat Security Bulletin を参照してください。