セキュリティ情報 / 2014 / セキュリティ情報 -- DSA-2892-1 a2ps

Debian セキュリティ勧告

DSA-2892-1 a2ps -- セキュリティ更新

報告日時:

2014-03-31

影響を受けるパッケージ:

a2ps

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 737385, バグ 742902.
Mitre の CVE 辞書: CVE-2001-1593, CVE-2014-0466.

詳細:

複数の欠陥が a2ps、Anything to Postscript (何でも Postscript に) コンバータ、プリティプリンタに発見されました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています:

• CVE-2001-1593

  a2ps が --debug フラグ付きで起動された場合に呼ばれる spy_user 関数が安全でない方法により一時ファイルを利用しています。

• CVE-2014-0466

  Brian M. Carlson さんが、a2psの fixps スクリプトが -dSAFER オプションを付けて gs を起動していないことを報告しています。結果としては悪意のある Postscript ファイルに対して fixps を実行した場合にファイルの削除や fixps を実行したユーザの権限で任意のコマンドを実行することにつながります。

旧安定版 (oldstable) ディストリビューション (squeeze) では、この問題はバージョン 1:4.14-1.1+deb6u1 で修正されています。

安定版 (stable) ディストリビューション (wheezy) では、この問題はバージョン 1:4.14-1.1+deb7u1 で修正されています。

テスト版 (testing) ディストリビューション (jessie) 及び不安定版 (unstable) ディストリビューション (sid) ではこの問題は近く修正予定です。

直ちに a2ps パッケージをアップグレードすることを勧めます。