Informations de sécurité / 2018 / Informations sur la sécurité -- DSA-4243-1 cups

Bulletin d'alerte Debian

DSA-4243-1 cups -- Mise à jour de sécurité

Date du rapport :

11 juillet 2018

Paquets concernés :

cups

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2017-15400, CVE-2018-4180, CVE-2018-4181, CVE-2018-6553.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans CUPS, le système commun d'impression pour UNIX. Ces problèmes ont reçu les identifiants CVE suivants :

• CVE-2017-15400

  Rory McNamara a découvert qu'un attaquant est capable d'exécuter des commandes arbitraires (avec les droits du démon CUPS) en paramétrant un serveur IPP malveillant avec un fichier PPD contrefait.

• CVE-2018-4180

  Dan Bastone de Gotham Digital Science a découvert qu'un attaquant local doté d'un accès à cupsctl pourrait augmenter ses droits en réglant une variable d'environnement.

• CVE-2018-4181

  Eric Rafaloff et John Dunlap de Gotham Digital Science ont découvert qu'un attaquant local peut réaliser des lectures limitées de fichiers arbitraires en tant que superutilisateur en manipulant cupsd.conf.

• CVE-2018-6553

  Dan Bastone de Gotham Digital Science a découvert qu'un attaquant peut contourner le bac à sable AppArmor de cupsd en invoquant le dorsal dnssd en utilisant un nom différent lié directement à dnssd.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 2.2.1-8+deb9u2.

Nous vous recommandons de mettre à jour vos paquets cups.

Pour disposer d'un état détaillé sur la sécurité de cups, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/cups.