CUPS, PoC pubblico per la CVE-2026-107886: double free in cupsd, CVSS 2.3

• PoC pubblico per la CVE-2026-107886 in CUPS, vulnerabilità già corretta dal vendor
• Double free in cupsd, CVSS 3.1 pari a 2.3: impatto solo sulla disponibilità
• Serve un utente locale autenticato con privilegi elevati
• Colpito cups dalla 1.4.8 alla 2.4.19: aggiornare all'ultima versione

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato che è disponibile una Proof of Concept (PoC) pubblica per la CVE-2026-107886, una vulnerabilità di CUPS, la piattaforma open source per la gestione dei servizi di stampa in ambiente Unix e Linux. Il vendor ha già rilasciato la correzione.

Di cosa si tratta

La falla è di tipo “Double Free” e ha un punteggio CVSS 3.1 pari a 2.3, quindi di gravità molto bassa. Un double free si verifica quando la stessa area di memoria viene rilasciata due volte, con effetti imprevedibili sul funzionamento del programma.

Il problema riguarda il componente cupsd, che gestisce le classi di stampa. Secondo l’ACN, l’origine è una gestione non adeguata dei parametri forniti dall’utente durante le operazioni di modifica ed eliminazione delle classi.

Impatto

Per sfruttare la vulnerabilità serve un attaccante locale, autenticato e con privilegi elevati. Inviando richieste opportunamente predisposte al servizio, potrebbe compromettere la disponibilità di CUPS sui sistemi interessati. La fonte non indica rischi per riservatezza o integrità dei dati.

Versioni interessate

• cups, dalla versione 1.4.8 alla 2.4.19.

Cosa fare

L’ACN raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile, ove non sia già stato fatto. Le indicazioni di dettaglio sono nei riferimenti dell’avviso ufficiale.

Il basso punteggio CVSS e i requisiti di accesso riducono il rischio concreto. La disponibilità di un PoC pubblico, però, rende più semplice la riproduzione del problema: conviene quindi includere l’aggiornamento nei normali cicli di patching.

Fonte: ACN