Avis du CERT-FR
Objet : Vulnérabilité dans CUPS
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
Les versions de CUPS antérieures à 1.3.6.
Résumé
Le logiciel CUPS (Common UNIX Printing System) est vulnérable via son service de partage d'imprimante.
Description
Le service de CUPS permettant de partager une imprimante, tournant sur le port 631/TCP, est vulnérable à des attaques de type débordement de mémoire. Une personne malveillante peut, à distance, à l'aide d'un paquet spécifiquement réalisé, provoquer un déni de service ou exécuter du code arbitraire.
Solution
Se référer au bulletin de mise à jour de CUPS 1.3.6 du 19 février 2008 pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de mise à jour de CUPS 1.3.6 du 19 février 2008 :
http://www.cups.org/articles.php?L529 -
Bulletin de sécurité Apple 307562 du 18 mars 2008 :
http://docs.info.apple.com/article.html?artnum=307562 -
Bulletin de sécurité Debian DSA-1530 du 25 mars 2008 :
http://www.debian.org/security/2008/dsa-1530 -
Bulletin de sécurité Mandriva MDVSA-2008-050 du 26 février 2008 :
http://www.mandriva.com/security/advisories?name=MDVSA-2008:050 -
Bulletin de sécurité Mandriva MDVSA-2008-051 du 26 février 2008 :
http://www.mandriva.com/security/advisories?name=MDVSA-2008:051 -
Bulletin de sécurité Red Hat RHSA-2008:0157-5 du 21 février 2008 :
http://rhn.redhat.com/errata/RHSA-2008-0157.html -
Bulletin de sécurité SuSE SUSE-SA-2008-012 du 06 mars 2008 : http://lists.opensuse.org/opensuse-security-announce/2008-03/msg00000.html
http://lists.opensuse.org/opensuse-security-announce/2008-03/msg00005.html -
Bulletin de sécurité SuSE SUSE-SA-2008-015 du 19 mars 2008 :
http://lists.opensuse.org/opensuse-security-announce/2008-03/msg00005.html -
Référence CVE CVE-2008-0047
https://www.cve.org/CVERecord?id=CVE-2008-0047 -
Référence CVE CVE-2008-0882
https://www.cve.org/CVERecord?id=CVE-2008-0882
Gestion détaillée du document
| Date | Description |
|---|---|
| 20 mars 2008 | version initiale. |
| 27 mars 2008 | ajout d'une référence CVE et de références aux bulletins de distributions Linux. |