Linux CUPS の脆弱性 CVE-2025-58364／58060：リモート DoS 攻撃と認証バイパスの恐れ

Linux CUPS Vulnerability Let Attackers Remote DoS and Bypass Authentication

2025/08/15 CyberSecurityNews — Linux Common Unix Printing System (CUPS) に２件の深刻な脆弱性 CVE-2025-58364／CVE-2025-58060 が発見された。これらの脆弱性を悪用する攻撃者は、リモートからのサービス拒否 (DoS) 攻撃／認証バイパス攻撃などを引き起こし、膨大な数のシステムを危険に直面させる。この問題は、ほぼすべての Linux ディストリビューションで使用される印刷コア・インフラに影響を与え、ネットワーク・セキュリティに深刻なリスクをもたらすという。

主なポイント
  • CUPS の２ 件の深刻な脆弱性は、ほぼすべての Linux システムに影響する。
  • 攻撃者は印刷サービスをクラッシュさせ、管理者権限を取得する可能性がある。
  • パッチが提供されるまでの間も、速やかな対策が必要となる。
リモート DoS 攻撃の脆弱性

この脆弱性 CVE-2025-58364 は、libcups ライブラリ内のプリンタ属性のデシリアライズと検証に起因する。攻撃者は細工したプリンタ属性レスポンスを通じてヌルポインタ参照を発生させ、ローカル・ネットワーク全体でシステム・クラッシュを引き起こす可能性がある。

この脆弱性が発生するのは、ipp_read_io() 関数が IPP_OP_GET_PRINTER_ATTRIBUTES リクエストを処理する際だ。セキュリティ研究者が実証したのは、ippNewRequest()／cupsDoRequest()／ippValidateAttributes() 関数の組み合わせにより、危険なコード・パスが生成されることだ。このコード・パスでは、不正なレスポンスにより、ループ for (ptr = attr->values[i].string.text; *ptr; ptr++) 内でヌルポインタ参照が発生する可能性がある。

この攻撃の前提として、隣接ネットワークへのアクセスが必要になるが、CUPS サービスがプリンタを自動検出するローカル・サブネットで悪用される可能性は高い。特に、cups-browsed サービスを実行しているシステムは、ネットワーク上のプリンタのアナウンスをアクティブにリッスンするため、隣接ネットワークからの攻撃ベクターに対して脆弱である。

CVE-2025-58364 の影響範囲は、CUPS の バージョン 2.4.12 未満であり、現時点でパッチは提供されていない。この脆弱性は、セキュリティ研究者 SilverPlate3 により発見／報告された。

認証バイパスの脆弱性

この脆弱性 CVE-2025-58060 は、AuthType Negotiate／Basic 以外の認証方式を使用する CUPS コンフィグに影響する、深刻な認証バイパスの脆弱性である。この欠陥を突く攻撃者は、システムが異なる認証タイプを期待している場合であっても、Authorization: Basic ヘッダーを送信することでパスワード検証を回避できる。

この脆弱性は cupsdAuthorize() 関数 (scheduler/auth.c) 内に存在し、管理者が Basic 認証以外を設定している場合でも、受信リクエストに Basic 認証ヘッダーが含まれるとパスワード検証がスキップされる。

その結果として、攻撃者は Authorization: Basic $(echo -n admin:x | base64) 形式でのリクエスト送信を可能にし、パスワードを任意の文字列を指定できる。それにより、CUPS 管理機能への不正アクセスが発生し、プリンタ・コンフィグ変更／印刷キュー操作／管理コマンドの実行に至るとされる。

CVE-2025-58060 が影響を及ぼす範囲は、Kerberos／LDAP などのエンタープライズ認証を実装するシステムである。この脆弱性は、セキュリティ研究者 hvenev-insait により特定／報告された。

CVE IDTitleCVSS 3.1 ScoreSeverity
CVE-2025-58364Remote DoS via null dereference6.5Moderate
CVE-2025-58060Authentication bypass with AuthType Negotiate7.8High
緩和策

この２つの脆弱性は、企業／家庭ネットワークに導入されている CUPS の重大な弱点を露呈している。

DoS の脆弱性は、ネットワーク全体の印刷サービスを妨害し、認証バイパスは管理アクセス制御を侵害する可能性がある。したがって、本番環境で CUPS を使用する組織は、直ちに脆弱性の影響を評価し、ネットワークレベルの保護対策を実施する必要がある。

さらに、ネットワーク管理者は、ファイアウォールで IPP ポート 631 へのアクセスを制限し、自動プリンタ検出を必要としないシステムでは、cups-browsed サービスを無効化する必要がある。

認証バイパス脆弱性については、パッチが利用可能になるまで、強力なパスワードを設定した AuthType Basic に一時的に戻すことで保護できる。また、組織は、OpenPrinting プロジェクトのリポジトリを監視し、セキュリティ・アップデートがリリースされ次第、直ちにパッチを適用する必要がある。

Linux の印刷基盤である CUPS に、２件の深刻な脆弱性が発見されました。ひとつは、プリンタ属性レスポンスの処理における検証不足が原因で、細工されたデータによりヌルポインタ参照が発生し、サービス拒否を引き起こすものです。もうひとつは、認証処理の欠陥で、Basic 以外の認証方式を設定していても、攻撃者が Basic ヘッダーを送信するだけでパスワード検証が回避されてしまう問題です。現時点では、パッチが適用されていませんが、文中では回避策が推奨されています。ご利用のチームは、ご注意ください。よろしければ、Linux CUPS で検索も、ご参照ください。