Linux打印系统CUPS爆出高危漏洞，零点击提权至root最高权限
2026-04-08 11:34
4 月 8 日消息，科技媒体 cyberkendra 昨日（4 月 7 日）发布博文，报道称 Linux 打印服务 CUPS 被曝存在严重安全漏洞，攻击者无需凭证即可远程执行代码并获取 root 权限。
在 AI 辅助下，安全研究员 Asim Manizada 发现了漏洞链，涉及 CVE-2026-34980 和 CVE-2026-34990 两个安全漏洞。
IT之家援引博文介绍，攻击者如果利用该漏洞链，从网络访问切入，最终以 root 权限写入任意文件，甚至覆盖 / etc / sudoers.d/ 完全控制系统。
CVE-2026-34980 源于 CUPS 对打印任务属性的处理缺陷。系统在序列化和重新解析后，对换行符的转义处理存在逻辑漏洞，导致换行符在完整往返过程中存活。
攻击者可向共享 PostScript 队列发送恶意打印任务，利用日志记录机制注入恶意 PPD 配置标记，诱导 CUPS 执行任意二进制文件，从而以 lp 用户身份实现远程代码执行。
CVE-2026-34990 影响更为广泛，默认配置下即可触发。本地无特权用户可绑定 TCP 端口并创建指向自身监听器的临时打印机，诱使 CUPS 使用 Local 方案进行认证并暴露管理令牌。
攻击者抓取 token 后，通过竞态条件在系统验证清除前持久化指向 file:///etc/sudoers.d/ 的队列，将任意打印任务转化为 root 级别的文件写入操作。
本次漏洞利用链条的关键，在于绕过 CUPS 对 file: 设备 URI 的安全检查。系统在临时打印机路径中先存储 URI，仅在共享标志清除临时状态后才验证，导致安全检查从未执行。截至 2026 年 4 月 5 日，虽然公共代码库中存在修复提交，但官方尚未发布修补版本，最新版本 2.4.16 仍存在漏洞。
【来源：IT之家】
相关推荐
Linux对AI生成代码制定规则：允许使用Copilot等辅助工具，人类承担失误责任deepin25.1发布：升级Linux内核6.18，系统级“Claw 模式”上线
Linux 7.0 RC6发布，Torvalds对异常多的补丁数量表示担忧
Linux用户注意：Snap Store爆发新型攻击，过期域名成黑客后门
氛围编程真香 “Linux 之父”Linus 在个人业余项目中尝试拥抱AI
Linux内核首个涉及Rust代码的安全漏洞公开
员工代码写不够就解雇！Linux创始人炮轰马斯克太愚蠢
Linux 6.18内核发布：首次原生支持小米REDMI book笔记本电脑AI按键等
大批用户坚决不升Win11！最像Windows的Linux的火了：下载量突破100万次
Xubuntu官网遭黑客入侵，Linux镜像下载页面被替换为恶意软件
腾讯工程师发布Swap Table补丁系列，Linux内核性能提升20~30%
Linux基金会 谷歌 微软 Meta Opera成立Chromium浏览器支持者联盟
英特尔向 Linux 内核添加 Nova Lake、Razer Lake 世代处理器 ID
Wine 10.0-rc1发布：Linux运行Windows应用新篇章
Linux之父怒怼AMD/英特尔的x86微架构级别：完全崩溃的垃圾
谷歌安卓15 QPR2新增Linux终端，让开发者在虚拟机中运行Linux应用
腾讯上线Linux微信官网：提供x86、Arm及龙芯LoongArch版下载
从将其视为癌症到全面拥抱 微软：Linux是Azure上最受欢迎系统
不效仿Win11 Linux不仅继续支持AMD Zen2 还要优化其性能
Linux Kernel 6.2生命周期结束 开发者敦促用户升级到Linux 6.3
微软将加强Linux上的脚本执行控制 目标提高安全性
Linux 5.17进一步优化Btrfs文件系统：目录删除快
Firefox仍是Linux Mint默认浏览器
Linux内核更新：AMD锐龙5000 APU白捡最多28％性能
AMD Zen4 96核心准备就绪！Linux已支持12个CCD小芯片
新内核Linux 5.16对12代酷睿处理器负优化：性能大幅下滑
惠普计划在部分工作站产品上预装 Windows的Linux 子系统
谷歌提升Linux内核漏洞赏金 分为31337和50337美
Hive恶意团队正开发Linux版勒索软件 目前缺乏相关功能
Linux Kernel 5.15首个候选版本发布：引入全新
谷歌警告三星：别瞎动Linux内核代码
IBM收购红帽 将对Linux开源世界产生影响深远
微软首次推出自主版本Linux系统
Linux发明者批评英特尔芯片设计
英特尔芯片设计缺陷大, 迫使Linux和Windows更新设计
勒索软件席卷全球 用Linux取代Windows就安全了吗
Valve为Linux推出SteamVR开发者版
无处不在的Linux是如何毁了微软统治世界的计划？
25年Linux之路：没有它，互联网可能不会这么精彩
QQ怎么看？微软新款Linux版Skype下载发布
<返回首页
Copyright CmsTop.com
2026年04月13日 23:28:58