8. April 2026

0Drucken

1

CVE-2026-34980 und 34990: Sicherheitslücke im freien Linux-Drucksystem "CUPS"

Mittels künstlicher Intelligenz wurden Sicherheitslücken im "Common Unix Printing System" entdeckt, die die Ausführung von beliebigem Code mit Root-Rechten ermöglichen. Dafür muss Cups jedoch als Netzwerk-Druckerserver konfiguriert sein, was im Privatumfeld selten der Fall ist. Betroffen sind sämtliche Versionen bis 2.4.16.

Logo von Cups. Bild: CUPS.svg von Kozuch, lizenziert unter CC BY-SA 3.0

Ein Team um die Sicherheitsforscher Asim Viladi Oglu Manizadə (Ingenieur bei SpaceX) hat Sicherheitslücken im Unix/Linux-Drucksystem Cups ("Common Unix Printing System") offengelegt. Inspiriert wurde Manizadə von Arbeiten des italienischen Sicherheitsforschers Simone Margaritelli aus dem Jahr 2024. Gefunden wurden die Schwachstellen mit Hilfe eines KI-Agenten.

Cups ist besonders im Linux-Umfeld stark verbreitet und bietet auch die Basis von Apples Drucksystem, aus dem später Airprint entwickelt wurde. Von den nun offengelegten Lücken sind Mac- oder iOS-Systeme jedoch nicht betroffen.

Die beiden Lücken wurden auf einer Skala von 1 bis 10 (kritisch) mit 6.1 und 5.0 in der Bedrohlichkeitsstufe "Mittel" klassifiziert. Problematisch wird es erst in Kombination aus beiden Lücken, die jedoch eine spezielle Konfiguration von Cups voraussetzen.

CVE-2026-34980

Das Einfallstor ist die Schwachstelle CVE-2026-34980. Die Grundvoraussetzung ist die Erreichbarkeit des Cups-Servers über das Netzwerk, der zudem eine gemeinsam genutzte Postscript-Warteschlange bereitstellt. Mit dieser Konfiguration wird anderen Computern (im gleichen Netzwerk) ein gemeinsamer Druckerzugriff ermöglicht. Bei privaten Installationen ist das in der Regel nicht der Fall.

Beim Angriff wird dem Cups-Server ein Drucker vorgegaukelt, der bei der automatischen Einrichtung manipuliert ist und Schadcode (mit) installiert. Ausgeführt wird dieser in der Regel jedoch erst beim nächsten Druckauftrag und auch "lediglich" unter dem rechteseitig eingeschränkten User "lp", der Cups zugeordnet ist.

CVE-2026-34990

Problematisch wird die Sache mit der Kombination (oder Verkettung) mit der ebenfalls gefundenen Sicherheitslücke CVE-2026-34990, die selbst ebenfalls lediglich in der Stufe "Mittel" eingestuft wurde.

Diese greift bereits in der Standardkonfiguration. Mittels dieser "Autorisierungslücke" ist ein potenzieller Angreifer in der Lage, den eingeschleusten Code mit niedrigen Rechten (Benutzer "lp") mit Root-Rechten auszuführen, die eigentlich für die Warteschlange selbst vorgesehen wurden.

Ausnutzung unklar

Es ist noch nicht bekannt, ob die Lücke aktiv ausgenutzt wird. Sicherheitshalber sollte man dennoch den Dienst "cups-browsed" stoppen, bis ein wirksames Update installiert wurde. Ein offizieller Patch steht derzeit jedoch noch nicht zur Verfügung, mit einer Aktualisierung wird aber in Kürze gerechnet.