研究人员发布针对 CVE-2024-47176 CUPS 漏洞的开源扫描程序

著名安全研究员 Marcus Hutchins 发布了一款新的开源工具，旨在帮助管理员和安全专家识别通用 Unix 打印系统 (CUPS) 的易受攻击实例，该系统广泛用于 UNIX 和类 UNIX 系统。此工具对于检测可能因 CUPS 中新发现的漏洞链而被利用的系统至关重要，这些漏洞可能导致远程代码执行 (RCE)。

CUPS 是许多基于 UNIX 的环境中的一个基本组件，用于管理网络打印并为打印任务提供强大的框架。它在 Linux 甚至一些 Apple 设备上广泛使用，使其成为攻击的主要目标。最近，CUPS 中发现了一系列严重漏洞 — CVE-2024-47176、CVE-2024-47076、CVE-2024-47175 和 CVE-2024-47177 — 允许攻击者远程添加或重新配置网络打印机并在易受攻击的系统上执行任意代码。

该漏洞链的核心是 CVE-2024-47176，这是 cups-browsed 守护进程中的一个严重漏洞。该漏洞源于 cups-browsed 通过 INADDR_ANY 将其控制端口（UDP 端口 631）绑定到所有可用网络接口（包括外部接口）。更糟糕的是，此服务不会对传入请求进行身份验证，这意味着任何能够到达此端口的攻击者都可以利用此漏洞。

从本质上讲，该漏洞允许攻击者诱骗 cups-browsed 访问恶意服务器，从而启动可能导致系统完全被攻陷的进程。这尤其危险，因为该漏洞既可以通过远程方式利用，也可以通过本地网络利用，从而可能允许在组织内进行横向移动。

意识到这些漏洞的严重性后，Marcus Hutchins发布了cups_scanner.py，这是一个基于 Python 的工具，旨在自动扫描本地网络中易受攻击的 cups 浏览实例。该工具通过执行以下操作简化了手动检测易受攻击设备的复杂过程：

1. 设置一个基本的 HTTP 服务器（不需要识别为打印机，因为我们不会利用 RCE 漏洞）。

2. 制作一个 UDP 数据包，指示 cups-browsed 连接到我们的 HTTP 服务器。

3. 将 UDP 数据包发送到端口 631 上给定范围内的每个 IP。

4. /printers/ 记录由易受攻击的 cups 浏览实例触发的任何对端点的 POST 请求 。

CUPS 中的漏洞是一个定时炸弹，尤其是 CVE-2024-47176，它可以让攻击者在组织的网络中立足。由于 cups-browsed 服务经常暴露在本地网络中，因此管理员必须立即扫描并修补任何易受攻击的实例。

https://github.com/MalwareTech/CVE-2024-47176-Scanner

原文始发于微信公众号（独眼情报）：研究人员发布针对 CVE-2024-47176 CUPS 漏洞的开源扫描程序