macOS版Common UNIX Printing System(CUPS)で最近公表された権限関連の脆弱性により、権限を持たないローカルユーザーがSystem Integrity Protection(SIP)の保護外にある任意の場所に攻撃者の意図したファイルを作成し、root所有権を取得できる可能性があることが分かりました。
CVE-2026-39875として追跡されているこの脆弱性は、macOS Sonoma、Sequoia、Tahoeの各バージョンにおいて、特定のアップデート(Sonoma 14.8.8、Sequoia 15.7.8、Tahoe 26.6)より前のバージョンを実行しているApple製デバイスに影響します。
セキュリティ研究者のDallas Dubs氏が公開した概念実証(PoC)リポジトリによると、この脆弱性はmacOSでプリンターや印刷ジョブの管理を担う特権デーモン、cupsdに存在するとのことです。
Securityaudit services
このPoCはroot権限で任意のファイルを作成できることを実証していますが、作成者は完全なrootシェルや単独での権限昇格経路を提供するものではないと説明しています。
macOS版CUPSの脆弱性
報告された攻撃は、CUPSのプリンター登録プロセスに存在する2つの別個のロジック上の弱点を悪用するものです。
まず、CUPSが新規登録されたプリンターを検査する際、デーモンはプリンターのデバイスURIで指定されたバックエンドエンドポイントに対して有効なローカル認証トークンを転送します。
ローカルアクセス権を持つ攻撃者は、攻撃者が制御するリスナーを指すプリンターを登録できます。これにより、特権を持つサービスが本来想定される信頼境界の外に認証トークンを送信してしまいます。
この設計は、プリンターのバックエンドが信頼できるものであることを前提としています。しかし、権限を持たないユーザーがバックエンドURIを定義できてしまうと、この前提が崩れ、ローカルのCUPS認証プロセスに関連するトークンを窃取する機会が生まれます。
2つ目の問題は、プリンター登録時のタイミング条件に関するものです。研究者によれば、cupsdは認証の検証が完了する前にroot権限でのファイル入出力(I/O)を開始してしまうことがあるとのことです。
この書き込み操作が行われる時点では、書き込み先のパスと書き込まれる内容の両方を、攻撃者がまだ操作できる状態にあります。
このPoCは、トークンの窃取とリプレイの手法を組み合わせて、file://デバイスURIを使った2つ目のプリンターを設定します。その後、攻撃者は制御下にあるデータを含む印刷ジョブを送信することで、cupsdに対して任意の場所にroot権限でその内容を書き込ませることができます。
Securedata storage
この攻撃にはローカルアクセスが必要ですが、開始後はユーザーの操作を必要としません。SIPで保護されたパスは上書きできないため、macOSのコアシステムファイルへの直接的な影響は限定的ですが、root所有の任意ファイル書き込みは、特に企業環境において重大な問題となり得ます。
書き込み可能なスタートアップ場所、アプリケーションディレクトリ、スケジュールタスクのパス、設定ファイルなどが、別の攻撃チェーンで悪用される可能性があります。
セキュリティチームは、この脆弱性をroot権限の完全な奪取を単独で実現する手段としてではなく、ローカルでの権限昇格を可能にし得る要因として捉えるべきです。
影響を受けるバージョンと対策
研究者のリポジトリには、macOS Tahoe 26.4.1、Sequoia 15.7.5、Sonoma 14.8.5に対する実証デモが含まれています。
Appleは、Dallas Dubs氏に加え、NVIDIA AI Red TeamのAaron Grattafiori氏、XBreach.ai、Nosebeard LabsのAndreas Jaegersberger氏とRo Achterberg氏に謝辞を表しています。
組織は、影響を受けるデバイスをmacOS Tahoe 26.6、Sequoia 15.7.8、またはSonoma 14.8.8以降にアップデートするようにしてください。
管理者はまた、ローカルアクセスを制限し、予期しないプリンター登録やCUPS設定の変更を監視するとともに、印刷アクティビティに関連して作成された不審なroot所有ファイルがないか調査すべきです。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
Malwareremoval service
翻訳元: https://gbhackers.com/macos-cups-flaw/