Информация по безопасности / 2014 / Информация о безопасности -- DSA-2892-1 a2ps

Рекомендация Debian по безопасности

DSA-2892-1 a2ps -- обновление безопасности

Дата сообщения:

31.03.2014

Затронутые пакеты:

a2ps

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 737385, Ошибка 742902.
В каталоге Mitre CVE: CVE-2001-1593, CVE-2014-0466.

Более подробная информация:

В a2ps, преобразователе и системе форматирования Всё в PostScript, были обнаружен несколько уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

• CVE-2001-1593

  Функция spy_user, которая вызывается при вызове a2ps с флагом --debug, небезопасно использует временные файлы.

• CVE-2014-0466

  Брайан М. Карлсон сообщил, что сценарий fixps из состава a2ps не запускает gs с опцией -dSAFER. Следовательно, выполнение fixps над некорректным файлом в формате PostScript может приводить к удалению файлов или выполнению произвольных команд с привилегиями пользователя, запустившего fixps.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в версии 1:4.14-1.1+deb6u1.

В стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1:4.14-1.1+deb7u1.

В тестируемом (jessie) и нестабильном (sid) выпусках эти проблемы будут исправлены позже.

Рекомендуется обновить пакеты a2ps.