CVE-2026-34980

Podatność w bibliotece libppd używanej przez CUPS. Funkcja ppdCreatePPDFromIPP2 nie oczyszcza atrybutów IPP podczas tworzenia bufora PPD, co może prowadzić do przepełnienia bufora lub innych problemów.

Podatność w systemie drukowania CUPS w wersjach 2.4.8 i wcześniejszych. Podczas uruchamiania serwera cupsd z konfiguracją Listen wskazującą na dowiązanie symboliczne, proces może wykonać dowolne chmod na wskazanym pliku.

W CUPS wykryto błąd polegający na nieprawidłowej obsłudze określonych atrybutów IPP podczas przetwarzania osadzonych komentarzy zleceń w dokumentach, co powoduje nieobsłużone odwołanie do wskaźnika null. Nieuwierzytelniony atakujący mogący przesyłać zadania do współdzielonej kolejki drukarki może wysłać spreparowane żądanie IPP, aby zawiesić demon drukowania.

W CUPS wykryto błąd wstrzyknięcia argumentów. Gdy skonfigurowane są powiadomienia e-mail, scheduler CUPS przyjmuje żądania subskrypcji drukarki zawierające mailto notify-recipient-uri. Notyfikator mailto przekazuje adres odbiorcy do skonfigurowanego programu sendmail bez zapewnienia, że nie może być zinterpretowany jako opcje wiersza poleceń. Zdalny atakujący mogący połączyć się z usługą CUPS może podać spreparowaną wartość odbiorcy zaczynającą się od "-", aby wpłynąć na zachowanie sendmail.

To CVE zostało odrzucone jako niebędące podatnością. Tworzenie kolejki szeregowej, która nadpisuje cups-files.conf, wymaga członkostwa w SystemGroups (lpadmin), co jest rolą administracyjną cupsd nadawaną przez superużytkownika. Nie przekroczono żadnej granicy uprawnień.

W schedulerze CUPS występują dwa porównania bez uwzględniania wielkości liter dla nazw użytkowników pochodzących z żądań, poza główną ścieżką autoryzacji (walidacja ACL drukarki i filtrowanie prywatnych atrybutów). Może to pozwolić na obejście kontroli dostępu opartej na nazwie użytkownika w niektórych konfiguracjach.

Funkcja cupsUTF32ToUTF8() w CUPS (plik cups/transcode.c) nie sprawdza długości źródła i może czytać poza końcem bufora źródłowego, co prowadzi do odczytu poza stertą. Jest to osiągalne przez parsowanie opisu dostawcy SNMP w backend/snmp-supplies.c z treścią kontrolowaną przez atakującego.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność, która pozwala lokalnemu nieuprzywilejowanemu użytkownikowi zmusić cupsd do uwierzytelnienia się w kontrolowanej przez atakującego usłudze IPP na localhost z tokenem `Authorization: Local ...`. Token ten umożliwia wykonywanie żądań /admin/ na localhost, a atakujący może utworzyć trwałą kolejkę drukarki z URI file:///... pomimo polityki FileDevice. Drukowanie do tej kolejki pozwala na nadpisanie dowolnego pliku jako root, co może prowadzić do eskalacji uprawnień.

OpenPrinting CUPS w wersjach do 2.4.16 ma podatność na przepełnienie bufora sterty w schedulerze CUPS podczas budowania ciągów opcji filtru z atrybutów zadania. W chwili publikacji nie ma publicznie dostępnych poprawek.

W systemie OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych, notyfikator RSS umożliwia przejście ścieżki (path traversal) w parametrze notify-recipient-uri, co pozwala zdalnemu klientowi IPP na zapis plików XML RSS poza katalogiem CacheDir/rss, w dowolnym miejscu zapisywalnym przez użytkownika lp. Wykorzystując domyślne uprawnienia grupy (root:lp, tryb 0770), notyfikator działający jako lp może nadpisać pliki stanu zarządzane przez roota, co po restarcie cupsd powoduje błędy parsowania pamięci podręcznej zadań i utratę wcześniej zakolejkowanych zadań.