Vulnerabilità critiche di stampa nei sistemi UNIX

Le vulnerabilità CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 e CVE-2024-47177 interessano il Common UNIX Printing System (CUPS), ampiamente utilizzato nei sistemi operativi Linux e UNIX-like, inclusi ChromeOS e macOS. Questi difetti di sicurezza, scoperti da Simone Margaritelli, riguardano una validazione impropria dell’input in vari componenti di CUPS, che può portare all’esecuzione di codice da remoto quando un attaccante manipola dati IPP (Internet Printing Protocol). La catena di exploit tipicamente richiede che il servizio cups-browsed sia attivo, consentendo a pacchetti malevoli provenienti dalla rete di raggiungere il sistema di stampa. Le vulnerabilità rappresentano in particolare una minaccia per i sistemi che fungono da server di stampa o che hanno abilitate le funzionalità di stampa in rete. L’urgenza di applicare le patch è elevata a causa del rischio posto da queste falle; tuttavia, l’impatto è in parte mitigato dalle configurazioni predefinite che spesso non espongono i servizi vulnerabili.

Riassunto tecnico

Nuove vulnerabilità nel sistema di stampa CUPS consentono ad attaccanti remoti di prendere il controllo delle stampanti ed eseguire comandi sul dispositivo senza alcuna interazione da parte dell’utente. Questi attacchi possono avvenire tramite internet o reti locali, rappresentando un rischio significativo di accesso e controllo non autorizzati, potenzialmente conducendo a gravi violazioni della sicurezza. È necessaria pronta consapevolezza e azione per evitare l’exploit.

Raccomandazioni

Per mitigare efficacemente le vulnerabilità CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 e CVE-2024-47177 nel Common UNIX Printing System (CUPS), è consigliato un approccio multilivello che combini patching e rafforzamento della sicurezza.

1. Patching: Inizia applicando le ultime patch di sicurezza fornite dalla tua distribuzione Linux o dagli sviluppatori di CUPS. Queste patch risolvono le vulnerabilità note correggendo i problemi di validazione dell’input che potrebbero essere sfruttati da attaccanti remoti. Verifica regolarmente la disponibilità di aggiornamenti poiché nuove vulnerabilità vengono identificate e corrette.

2. Disabilita il servizio cups-browsed: Se le funzionalità di stampa in rete non sono necessarie, disabilitare il servizio cups-browsed può ridurre significativamente l’esposizione del sistema agli attacchi potenziali. Questo servizio ascolta i broadcast delle stampanti sulla rete e potrebbe esporre inutilmente il sistema se non utilizzato. Questo può di solito essere fatto attraverso strumenti di gestione del sistema come systemctl con il seguente comando:

   sudo systemctl disable --now cups-browsed

Questo comando arresta immediatamente il servizio e ne impedisce l’avvio al boot.

3. Configurazione del firewall di rete: Implementa regole del firewall per bloccare il traffico UDP in ingresso sulla porta 631, utilizzata da IPP. Questo limita la possibilità da parte di attori esterni di inviare pacchetti dati malevoli che potrebbero sfruttare le vulnerabilità:

   sudo iptables -A INPUT -p udp --dport 631 -j DROP

In alternativa, configura ufw (Uncomplicated Firewall) se installato:

   sudo ufw deny from any to any port 631 proto udp

Adottando questi accorgimenti, è possibile proteggere i sistemi da un potenziale sfruttamento, riducendo al minimo la superficie esposta e assicurandosi che eventuali vulnerabilità sfruttabili siano prontamente corrette tramite patching. Revisioni periodiche delle configurazioni di sicurezza e un monitoraggio continuo degli aggiornamenti di sicurezza restano componenti essenziali della manutenzione continua del sistema.