Alertă de securitate Linux: protejați-vă sistemul de vulnerabilitatea CUPS

În aprilie 2026, comunitatea Linux a fost lovită de una dintre cele mai serioase vulnerabilități care afectează CUPS (Common UNIX Printing System), o componentă instalată implicit pe majoritatea distribuțiilor Linux. Identificate cu codurile CVE‑2026‑34980 și CVE‑2026‑34990, permit atacatorilor neautorizați să obțină acces root printr-un singur pachet trimis către portul 631 sau prin exploatarea cozilor de imprimare și a protocoalelor de rețea.

CUPS este serviciul care gestionează tot ce ține de imprimante: de la detectarea lor automată în rețea până la procesarea documentelor trimise spre tipărire. Această vulnerabilitate nu este doar un singur bug, ci un lanț de vulnerabilități care exploatează modul în care sistemul gestionează imprimantele temporare și cozile de imprimare partajate (PostScript).

Principalele amenințări identificate:
1. CVE-2026-34980: permite unui atacator anonim să trimită cereri malițioase de imprimare către o coadă PostScript partajată, executând cod arbitrar cu drepturile serviciului de imprimare
2. CVE-2026-34990: Un utilizator local fără privilegii poate păcăli serviciul cupsd să se autentifice la un serviciu IPP controlat de atacator, permițând suprascrierea fișierelor de sistem cu drepturi de root

Verificați dacă sistemul este vulnerabil
Această metodă de verificare permite identificarea instantanee a vulnerabilității prin monitorizarea interfețelor de rețea, vizând direct nucleul problemei: modul în care daemonul cups-browsed gestionează pachetele IPP primite pe portul UDP 631. Procesul începe întotdeauna prin confirmarea faptului că sistemul ascultă activ pe acest port la nivel global, pas esențial pentru a determina dacă mașina este expusă protocolului exploatabil.

Rulați următoarea comandă în terminal:
$ sudo ss -lntu  |  grep 631

Dacă vedeți pe rândurile udp 0.0.0.0:631 sau [::]:631, sistemul ascultă de pachetele UDP pe toate interfețele, înseamnă că sunteți vulnerabil. Dacă pe liniile TCP 127.0.0.1:631 şi [::1]:631, daemonul CUPS ascultă numai pe localhost, înseamnă că acest lucru este complet sigur.

Opriți și dezactivați cups-browsed
Dacă nu imprimați în mod activ documente de pe serverele Linux cu o imprimantă de rețea, atunci cea mai sigura metodă de atenuare constă în oprirea și dezactivarea imediată a serviciului responsabil, eliminând astfel complet suprafața de atac fără a depinde de lansarea unui patch de către distribuția utilizată.
***opriți serviciul și împiedicați pornirea acestuia
$ sudo systemctl stop cups-browsed
$ sudo systemctl disable cups-browsed

***mascați serviciul
$ sudo systemctl mask cups-browsed

***verificați dacă portul este închis
$ sudo ss -lntu | grep 631

Blocați portul 631 la nivel de firewall
Blocarea portului 631 la nivel de firewall oferă un strat esențial de apărare în profunzime, asigurându-vă că pachetele malițioase sunt respinse înainte de a ajunge la daemon chiar și în cazul unei reporniri accidentale a serviciului. Această măsură este imperativă dacă utilizarea imprimantelor de rețea nu permite dezactivarea completă a cups-browsed, caz în care portul UDP 631 trebuie restricționat strict pentru dispozitivele locale de încredere. Totodată, adăugarea unei reguli de firewall rămâne o practică recomandată pentru securitate maximă, servind drept plasă de siguranță suplimentară chiar și atunci când serviciul este inactiv.
Blocați traficul pe portul 631 folosind ufw:
$ sudo ufw deny 631/udp
$ sudo ufw deny 631/tcp

Blocați traficul pe portul 631 folosind firewalld:
$ sudo firewall-cmd --zone=public --remove-service=ipp-client --permanent
$ sudo firewall-cmd --reload

Deși dezactivarea serviciului și blocarea portului reprezintă măsuri esențiale de prim răspuns, soluția permanentă a vulnerabilității la nivel binar, necesită instalarea pachetelor corectate din depozitele de securitate oficiale. Rulați o actualizare a sistemului pentru primi ultimele actualizări:
***Ubuntu/Debian
$ sudo apt update
$ sudo apt upgrade

***Fedora
$ sudo dnf upgrade

***Arch Linux/Manjaro
$ sudo pacman -Syu

Dacă ați mascat serviciul și aveți nevoie de imprimare în rețea, îl puteți demasca și reactiva în siguranță:
$ sudo systemctl unmask cups-browsed
$ sudo systemctl enable --now cups-browsed 

Vulnerabilitatea CUPS din aprilie 2026 ne reamintește că până și cele mai vechi și stabile componente ale unui sistem de operare pot ascunde riscuri majore. Protecția sistemului vostru Linux depinde de o abordare proactivă: actualizați distribuția, oprirea serviciilor și izolați serviciul la nivel de firewall.

Așadar dacă v-a plăcut articolul informativ "Alertă de securitate Linux: protejați-vă sistemul de vulnerabilitatea CUPS" distribuiți-l pe rețelele sociale sau scrieți în caseta de comentarii întrebările și sugestiile dumneavoastră, deoarece mă ajută să îmbunătățesc sau să corectez conținutul.