Se ha publicado una prueba de concepto (PoC) pública para la vulnerabilidad CVE-2026-39875 en el sistema de impresión CUPS de macOS. Este fallo permite que un usuario local sin privilegios pueda escribir archivos arbitrarios con privilegios de root. La vulnerabilidad afecta a las versiones de macOS Sonoma, Sequoia y Tahoe anteriores a las actualizaciones 14.8.8, 15.7.8 y 26.6, respectivamente.

Se ha publicado una prueba de concepto (PoC) pública para la CVE-2026-39875, una vulnerabilidad de macOS en el Sistema de Impresión Común de UNIX (CUPS) que permite que un usuario local sin privilegios realice escrituras de archivos arbitrarias con privilegios de root. El fallo afecta a las versiones de macOS Sonoma, Sequoia y Tahoe anteriores a macOS 14.8.8, 15.7.8 y 26.6.

La PoC, publicada por el investigador de seguridad Dallas Dubs, demuestra cómo se pueden encadenar dos fallos de lógica en el demonio de impresión cupsd con privilegios.

Aunque el código público demuestra una escritura de archivo arbitraria a nivel de root en lugar de una shell de root interactiva completa, tal capacidad puede crear una ruta realista hacia la escalada de privilegios locales dependiendo del archivo objetivo y la configuración del sistema.

El fallo permite que un atacante local registre una impresora maliciosa y robe un token de autenticación de CUPS válido durante la detección de la impresora.

PoC publicada para la vulnerabilidad de CUPS

El atacante puede entonces reproducir el token capturado para registrar otra impresora. Esta impresora utiliza un URI de dispositivo file:// que apunta a una ruta local seleccionada por el atacante que no está protegida por la Protección de Integridad del Sistema (SIP).

El problema es especialmente grave porque CUPS puede iniciar operaciones de archivos con privilegios de root antes de que el proceso de validación de autenticación relacionado se haya completado totalmente.

En la etapa final, el atacante envía un trabajo de impresión que contiene datos controlados a la impresora maliciosa. El demonio cupsd escribe el contenido suministrado en la ubicación seleccionada como root.

Según la documentación de la PoC en GitHub, el ataque no requiere interacción del usuario después de la ejecución. Puede reproducirse en versiones vulnerables de macOS. El repositorio público incluye demostraciones contra macOS Tahoe 26.4.1, macOS Sequoia 15.7.5 y macOS Sonoma 14.8.5.

El desarrollador también aclaró que el script publicado verifica que se haya creado un archivo con propiedad de root. No proporciona directamente un mecanismo completo de escalada de privilegios.

Sin embargo, las escrituras arbitrarias de archivos de root son una primitiva de alto impacto. Un atacante que ya tenga acceso a una cuenta local estándar podría abusar de esta condición para alterar archivos de configuración gestionados de forma insegura, definiciones de tareas programadas, archivos de soporte de aplicaciones u otras ubicaciones escribibles.

El impacto práctico variará dependiendo de las restricciones de SIP, los permisos de archivos, los controles de seguridad de los endpoints y la disponibilidad de un objetivo adecuado para convertir la escritura en una ejecución de código persistente a nivel de root.

Apple ha corregido la vulnerabilidad en macOS 26.6, macOS 15.7.8 y macOS 14.8.8. Tu organización debería priorizar el despliegue de estas actualizaciones, especialmente en sistemas Mac compartidos, endpoints de desarrolladores y dispositivos donde los usuarios puedan ejecutar software local no confiable.

Los equipos de seguridad también deberían monitorizar registros de impresoras locales inusuales, cambios inesperados en los URI de los dispositivos de impresión y trabajos de impresión sospechosos dirigidos a destinos basados en archivos.

Restringir el acceso innecesario a la administración de impresoras y supervisar la actividad relacionada con CUPS puede proporcionar una cobertura de detección adicional mientras se implementan los parches. La publicación de la PoC aumenta la probabilidad de pruebas activas e intentos de explotación, por lo que es esencial que instales los parches rápidamente.

Fuentes:
https://cybersecuritynews.com/public-poc-released-for-cups-vulnerability/