Debian-Sicherheitsankündigung

lpr -- Nutzer können für sie unsichtbare Dateien sehen

Datum des Berichts:

30. Okt 1999

Betroffene Pakete:

lpr

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

Im Augenblick ist keine weitere externe Sicherheitsdatenbank-Referenz verfügbar.

Weitere Informationen:

Die mit Debian GNU/Linux 2.1 verteilte Version von lpr leidet unter einer Reihe von Problemen:

es gab einen Race (Wettrennen) in lpr das von Nutzern ausgenutzt werden konnte, um Dateien zu drucken, die sie normalerweise nicht lesen konnten
lpd hat die Rechte von Warteschlangen-Dateien nicht überprüft. Als Ergebnis davon konnte es mit dem »-s«-Schalter dazu gebracht werden, Dateien zu drucken, die der Nutzer normalerweise nicht lesen kann

Aktualisierung: Es wurden zusätzliche Verwundbarkeiten in lpr gefunden. Lesen Sie https://www.debian.org/security/2000/20000109 für weitere Informationen, einschließlich der folgenden:

Die mit Debian GNU/Linux 2.1 verteilte und die aktualisierte Version 2.1r4 von lpr haben folgende zwei Sicherheitsprobleme:

Der Rechnername des Clienten wurde nicht korrekt überprüft, d.h. falls jemand in der Lage ist, den DNS-Eintrag für diese IP zu kontrollieren, kann er lpr dazu verleiten, ihm Zugang zu gewähren.
Es war möglich, Extra-Optionen an sendmail zu übergeben, die es erlaubten, eine andere Konfigurationsdatei zu verwenden. Dies kann ausgenutzt werden, um Administratorzugang zu erlangen.

Beide Probleme wurden in Version 0.48-0.slink1 behoben. Wir empfehlen, dass Sie das lpr-Paket umgehend aktualisieren.

Lesen Sie BugTraq-List (1999 Okt 0176) für weitere Informationen.