Bulletin d'alerte Debian

DLA-239-1 cups -- Mise à jour de sécurité pour LTS

Date du rapport :
9 juin 2015
Paquets concernés :
cups
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2015-1158, CVE-2015-1159.
Plus de précisions :

Deux vulnérabilités critiques ont été découvertes dans le système d'impression CUPS :

  • CVE-2015-1158

    – Mise à jour inappropriée du compte de référence

    Cupsd utilise des chaînes de numéro de référence à portée globale. Lors de l'analyse d'une requête de tâche d'impression, cupsd décrémente trop le numéro de référence d'une chaîne à partir d'une requête. Ainsi, un attaquant peut libérer prématurément une chaine arbitraire de portée globale. Il peut utiliser cela pour démanteler les opérations privilégiées de protection d'ACL, et charger un fichier de configuration de remplacement, et ensuite exécuter du code arbitraire sur la machine cible.

    Ce bogue est exploitable dans les configurations par défaut, et n'a pas besoin de droits spéciaux autres que la capacité d'impression de base.

  • CVE-2015-1159

    – Script intersite

    Un bogue de script intersite dans le moteur de modèle de CUPS permet au bogue ci-dessus d'être exploité lorsqu'un utilisateur navigue sur le web. Ce script intersite est accessible dans la configuration par défaut des instances Linux de CUPS, et permet à un attaquant de contourner les réglages de configuration par défaut qui lient l'ordonnanceur de CUPS à l'interface de « localhost » ou de bouclage.