CVE-2026-87876: Остаточные проблемы регистронезависимого сравнения имен пользователей в планировщике CUPS
В CUPS (Common UNIX Printing System) обнаружена уязвимость CVE-2026-87876, связанная с некорректной обработкой регистра символов в именах пользователей при проверке ACL принтеров и фильтрации приватных атрибутов. Проблема затрагивает Red Hat Enterprise Linux 6–10, OpenShift Container Platform 4 и другие продукты Red Hat. Критичность низкая (CVSS 3.0), однако в определенных конфигурациях возможен обход контроля доступа.
Подробности
Уязвимость затрагивает планировщик CUPS (cupsd) — центральный компонент системы печати. Проблема локализована в двух функциях, находящихся вне основного пути авторизации: 1. **Проверка ACL принтеров** — при валидации прав доступа к принтеру на основе имени пользователя сравнение выполняется без учета регистра. 2. **Фильтрация приватных атрибутов** — при обработке запросов на просмотр конфигурации или состояния принтера приватные атрибуты скрываются на основе регистронезависимого сопоставления имени пользователя. В результате атакующий, знающий имя легитимного пользователя в другом регистре (например, "Admin" вместо "admin"), может обойти ограничения контроля доступа в сценариях, где применяются настройки AllowUser/DenyUser или конфиденциальные атрибуты. Затронутые продукты: Red Hat Enterprise Linux 6, 7, 8, 9, 10, Red Hat Hardened Images, Red Hat OpenShift Container Platform 4. Базовый показатель CVSS v3 составляет 3.0 (LOW), однако реальный риск зависит от конфигурации: уязвимость проявляется только при использовании имен пользователей с буквами разного регистра в правилах доступа. Причина проблемы — в функции сравнения строк, которая приводит оба аргумента к нижнему регистру с помощью `tolower()`. В Unicode это преобразование не является биективным для некоторых символов, что создает потенциальные коллизии.Что делать
Red Hat уже выпустила обновления для всех затронутых продуктов. Рекомендуется: 1. **Обновить CUPS** до последней версии, содержащей исправление. Для RHEL — обратиться к каналу обновлений Red Hat Satellite или репозиториям. 2. Если немедленное обновление невозможно, **ограничить доступ к CUPS** на сетевом уровне (firewall) до доверенных хостов. 3. **Проверить конфигурацию принтеров** — временно избегать использования имен пользователей, отличающихся только регистром, в директивах AllowUser/DenyUser. 4. Для OpenShift Container Platform — обновить образы контейнеров до актуальных версий с исправлением.Итог
CVE-2026-87876 демонстрирует, насколько важно проводить тщательный аудит при исправлении уязвимостей: даже после устранения основной проблемы могут остаться обходные пути в смежных компонентах. Хотя низкий показатель CVSS снижает приоритет, организациям, использующим CUPS в чувствительных средах, рекомендуется оперативно установить патчи от Red Hat.Источник: CVE Project (cvelistV5)