CVE-2026-105326

Podatność w bibliotece libppd używanej przez CUPS. Funkcja ppdCreatePPDFromIPP2 nie oczyszcza atrybutów IPP podczas tworzenia bufora PPD, co może prowadzić do przepełnienia bufora lub innych problemów.

Podatność w systemie drukowania CUPS w wersjach 2.4.8 i wcześniejszych. Podczas uruchamiania serwera cupsd z konfiguracją Listen wskazującą na dowiązanie symboliczne, proces może wykonać dowolne chmod na wskazanym pliku.

W CUPS wykryto błąd polegający na nieprawidłowej obsłudze określonych atrybutów IPP podczas przetwarzania osadzonych komentarzy zleceń w dokumentach, co powoduje nieobsłużone odwołanie do wskaźnika null. Nieuwierzytelniony atakujący mogący przesyłać zadania do współdzielonej kolejki drukarki może wysłać spreparowane żądanie IPP, aby zawiesić demon drukowania.

To CVE zostało odrzucone jako niebędące podatnością. Tworzenie kolejki szeregowej, która nadpisuje cups-files.conf, wymaga członkostwa w SystemGroups (lpadmin), co jest rolą administracyjną cupsd nadawaną przez superużytkownika. Nie przekroczono żadnej granicy uprawnień.

W schedulerze CUPS występują dwa porównania bez uwzględniania wielkości liter dla nazw użytkowników pochodzących z żądań, poza główną ścieżką autoryzacji (walidacja ACL drukarki i filtrowanie prywatnych atrybutów). Może to pozwolić na obejście kontroli dostępu opartej na nazwie użytkownika w niektórych konfiguracjach.

Funkcja cupsUTF32ToUTF8() w CUPS (plik cups/transcode.c) nie sprawdza długości źródła i może czytać poza końcem bufora źródłowego, co prowadzi do odczytu poza stertą. Jest to osiągalne przez parsowanie opisu dostawcy SNMP w backend/snmp-supplies.c z treścią kontrolowaną przez atakującego.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność, która pozwala lokalnemu nieuprzywilejowanemu użytkownikowi zmusić cupsd do uwierzytelnienia się w kontrolowanej przez atakującego usłudze IPP na localhost z tokenem `Authorization: Local ...`. Token ten umożliwia wykonywanie żądań /admin/ na localhost, a atakujący może utworzyć trwałą kolejkę drukarki z URI file:///... pomimo polityki FileDevice. Drukowanie do tej kolejki pozwala na nadpisanie dowolnego pliku jako root, co może prowadzić do eskalacji uprawnień.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność w sieciowo dostępnym cupsd z współdzieloną kolejką PostScript. Nieuwierzytelniony klient może wysłać zadanie drukowania, a serwer przetwarza wartość page-border z osadzonym znakiem nowej linii, co pozwala na wykonanie dowolnego pliku binarnego (np. /usr/bin/vim) jako użytkownik lp.

OpenPrinting CUPS w wersjach do 2.4.16 ma podatność na przepełnienie bufora sterty w schedulerze CUPS podczas budowania ciągów opcji filtru z atrybutów zadania. W chwili publikacji nie ma publicznie dostępnych poprawek.

W systemie OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych, notyfikator RSS umożliwia przejście ścieżki (path traversal) w parametrze notify-recipient-uri, co pozwala zdalnemu klientowi IPP na zapis plików XML RSS poza katalogiem CacheDir/rss, w dowolnym miejscu zapisywalnym przez użytkownika lp. Wykorzystując domyślne uprawnienia grupy (root:lp, tryb 0770), notyfikator działający jako lp może nadpisać pliki stanu zarządzane przez roota, co po restarcie cupsd powoduje błędy parsowania pamięci podręcznej zadań i utratę wcześniej zakolejkowanych zadań.