cups2root è un nuovo exploit che permette a chi ha accesso lpadmin su Ubuntu di ottenere una shell root sfruttando una catena di vulnerabilità CUPS. Non ci sono patch disponibili e le difese standard non bastano.
Con cups2root, basta un account lpadmin per ottenere una shell root su Ubuntu. Il proof-of-concept, pubblicato da Rick de Jager del team V12 security, mostra come una serie di vulnerabilità e configurazioni permissive in CUPS possano essere sfruttate per prendere il controllo del sistema. AppArmor, in questo scenario, non riesce a bloccare l'escalation.
L'exploit segue una sequenza precisa: cups2root crea una stampante seriale "raw" che punta al file di configurazione /etc/cups/cups-files.conf. I dati di stampa sovrascrivono la configurazione da un offset scelto, reindirizzando ServerBin e altri percorsi verso una directory interfaces controllata dall'attaccante. Un crash mirato del demone, ottenuto con una richiesta IPP malformata, costringe systemd a riavviare CUPS con la configurazione modificata. La directory interfaces diventa così scrivibile dal gruppo lpadmin. A questo punto, basta sostituire il binario cups-exec con una versione malevola: CUPS lo esegue come root, installa una shell setuid e poi ripristina i file originali. Il PoC è stato testato su Ubuntu 26.04 LTS sia su AMD64 che ARM64.
AppArmor, spesso indicato come protezione per CUPS, non ferma questa tecnica. Tutte le scritture necessarie sono già permesse dal profilo standard di Ubuntu: cups2root non aggira il sandboxing, ma sfrutta i permessi già concessi per ottenere privilegi. Questo rende inefficaci le raccomandazioni di sicurezza adottate dopo le vulnerabilità CUPS di aprile 2026.
Nonostante la gravità, nei canali ufficiali di Canonical e nei bollettini di sicurezza Ubuntu non ci sono advisory specifici su "cups2root" o su una catena di exploit che consenta l'escalation lpadmin>root senza barriere su Ubuntu 26.04 LTS. Fonti indipendenti confermano che, anche se sono stati pubblicati fix per vulnerabilità CUPS nella primavera 2026, non risultano segnalazioni certificate di un nuovo zero-day root legato a questa tecnica. Per verificare scenari simili, le policy europee richiedono di consultare fonti primarie come i team di sicurezza delle distribuzioni o le autorità nazionali, tra cui l'Agenzia per la Cybersicurezza Nazionale.
Non sono disponibili advisory ufficiali Canonical o report di grandi agenzie che confermino una catena cups2root con bypass AppArmor su Ubuntu 26.04 LTS; le segnalazioni restano non verificate nei canali istituzionali.Agenzia per la Cybersicurezza Nazionale
Un nuovo capitolo dopo le falle di aprile
CUPS era già stato al centro dell'attenzione nel 2026. Ad aprile, una catena di bug - CVE-2026-34980 e CVE-2026-34990 - aveva permesso di passare da una stampa di rete non autenticata a scritture arbitrarie di file root, come la sovrascrittura di /etc/sudoers.d/, senza alcuna interazione dell'utente. Quella catena partiva da remoto; cups2root invece si concentra sull'escalation locale, ma il risultato è altrettanto grave per la sicurezza dei sistemi Linux.
La situazione ricorda altri casi, come riportato in precedenza per i bug critici nel kernel SAP, dove le difese tradizionali non sono bastate contro attacchi ben preparati.
Difese possibili e limiti attuali
Al momento non ci sono patch ufficiali né un CVE assegnato. La difesa si limita a misure di contenimento: restringere l'accesso al gruppo lpadmin solo ad amministratori fidati, disabilitare il backend seriale se non serve e mantenere CUPS accessibile solo da localhost. È importante monitorare OpenPrinting per eventuali correzioni e applicarle appena disponibili.
La lezione di cups2root è chiara: la sicurezza non può basarsi solo su sandbox o raccomandazioni generiche. Se i permessi di default permettono scritture critiche, anche un attaccante locale può compromettere il sistema. In assenza di una patch, la responsabilità ricade sugli amministratori, che devono agire subito per ridurre la superficie d'attacco e non sottovalutare il rischio di escalation interne.
