ثغرات CUPS: خادم Linux لا يحتاج طابعة

الأسبوع الماضي نُشرت سلسلة ثغرات في CUPS، نظام الطباعة على معظم أجهزة Linux وUnix. الجزء الضعيف هو cups-browsed، الذي يستمع على منفذ UDP 631 لإعلانات الطابعات، من أي مكان.

يستطيع المهاجم إرسال حزمة واحدة تضيف طابعة مزيفة. وعندما يطبع أحد عليها، يُنفَّذ أمر المهاجم. وكشفت عمليات الفحص مئات الآلاف من الأجهزة وهذا المنفذ مفتوح على الإنترنت.

الأمر يحتاج مهمة طباعة ليبدأ، فليس نهاية العالم. لكن الإصلاح سهل جدًا فلا داعي للانتظار:

sudo systemctl disable --now cups-browsed

ثم:

• الخوادم نادرًا ما تحتاج CUPS. احذف الحزم إن لم يكن هناك ما يطبع.
• امنع UDP 631 في الجدار الناري، القادم من الإنترنت.
• ثبّت تحديثات توزيعتك لـcups-browsed وlibcupsfilters وlibppd فور وصولها.

النقطة الأوسع: كل خدمة يشغّلها الخادم شيء يحتاج تحديثًا، والتثبيت الافتراضي يضم غالبًا أشياء لم تطلبها. شغّل ss -tulpn من حين لآخر واسأل: «لماذا يستمع هذا؟»