Une faille dans CUPS, la technologie d'impression d'Apple, très dangereuse dans de nombreux UNIX… sauf ceux d'Apple

Une faille dangereuse a été dévoilée il y a quelques jours dans CUPS (Common UNIX Printing System), un ensemble de composants qui prennent en charge l'impression dans de nombreux systèmes UNIX (de GNU/Linux à ChromeOS en passant par Solaris). Et de façon un rien ironique, la faille ne semble pas toucher les UNIX d'Apple… alors que CUPS est une technologie Apple. CUPS est un produit open source qu'Apple a employé dès 2002 (dans Mac OS X Jaguar) et qui a été racheté à son créateur — embauché pour l'occasion — en 2007.

Le logo de CUPS.

Mais parlons des failles, car il y en a plusieurs. Elles ont été découvertes par Simone Margaritelli, qui donne des détails sur son site. La première, CVE-2024-47176, est dans le processus cups-browsed. Elle est simple: le système accepte n'importe quelle requête sur le port UDP 631 en rapport avec le protocole IPP (Internet Printing Protocol, qui permet d'imprimer en réseau, en résumé). Il est donc possible d'ajouter une (fausse) imprimante sur le systèm...