Дефект, позволяющий злоумышленникам инициировать произвольное удаленное выполнение кода при соблюдении определенных условий, был раскрыт в конце прошлого месяца человеком, обнаружившим его, Симоне Маргарителли.
Несмотря на то, что в реальных условиях атаки RCE выглядят ограниченными из-за необходимых условий эксплуатации, Akamai позже показала, что CVE-2024-47176 также открывает возможности для 600-кратного усиления распределенных атак типа «отказ в обслуживании» (DDoS).
Сканер был создан исследователем кибербезопасности Маркусом Хатчинсом (он же «MalwareTech»), который создал сканер, чтобы помочь системным администраторам просканировать свои сети и быстро выявить устройства, на которых запущены уязвимые CUPS-Browsed сервисы.
«Уязвимость возникает из-за того, что cups-browsed привязывает свой управляющий порт (UDP-порт 631) к INADDR_ANY, открывая его всему миру. Поскольку запросы не аутентифицируются, любой человек, способный добраться до управляющего порта, может дать cups-browsed указание выполнить обнаружение принтера.»
«В тех случаях, когда порт недоступен из Интернета (из-за брандмауэров или NAT), он все еще может быть доступен через локальную сеть, что позволяет повысить привилегии и совершить латеральное перемещение.»
«По этой причине я создал этот сканер, предназначенный для сканирования вашей локальной сети на предмет уязвимых экземпляров cups-браузеров». - Маркус Хатчинс
Принцип работы сканера
Python-скрипт (cups_scanner.py) устанавливает HTTP-сервер на сканирующей машине, который слушает входящие HTTP-запросы (callbacks) от устройств в сети.
CVE-2024-47176 возникает из-за того, что CUPS-browsed (демон, входящий в состав CUPS) привязывает свой порт управления (UDP-порт 631) к INADDR_ANY, открывая порт в сеть и позволяя любой системе отправлять на него команды.
Сканер отправляет пользовательский UDP-пакет на широковещательный адрес сети на порту 631, который рассылается на каждый IP-адрес в указанном диапазоне, сообщая экземплярам CUPS о необходимости отправить ответный запрос.
Если устройство, на котором запущен уязвимый экземпляр cups-browsed, получит UDP-пакет, оно интерпретирует запрос и отправит HTTP-обратный вызов серверу, так что только те устройства, которые отвечают, помечаются как уязвимые.
Результаты записываются в два журнала: один (cups.log) содержит IP-адреса и версию CUPS ответивших устройств, а другой (requests.log) - необработанные HTTP-запросы, полученные сервером обратного вызова, которые могут быть использованы для более глубокого анализа.
Используя этот сканер, системные администраторы могут планировать и выполнять целевые действия по исправлению или изменению конфигурации, минимизируя воздействие CVE-2024-47176 в сети.
BleepingComputer не тестировал этот скрипт и не может гарантировать его эффективность или безопасность, поэтому вы должны использовать его на свой страх и риск.
