S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 20 décembre 2002
N° CERTA-2002-AVI-275
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans CUPS

Gestion du document

Référence CERTA-2002-AVI-275
Titre Multiples vulnérabilités dans CUPS
Date de la première version20 décembre 2002
Date de la dernière version21 janvier 2003
Source(s) Avis de sécurité de iDEFENSE du 19-12-02
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire à distance

Systèmes affectés

Toutes les versions de CUPS antérieures à la version 1.1.18.

Résumé

De multiples vulnérabilités ont été découvertes dans le système d'impression CUPS (Common Unix Printing System) permettant à un utilisateur mal intentionné de réaliser un déni de service ou d'exécuter du code arbitraire à distance.

Description

CUPS est un système d'impression pour Unix développé par Easy Software Products et largement employé dans le monde Unix.
Les systèmes d'exploitations suivants livrent CUPS par défaut :

  • Apple ;
  • GNU/Linux RedHat, Debian, Mandrake, Suse, Slackware ;
  • FreeBSD et NetBSD.

Sept vulnérabilités ont été découvertes dans CUPS permettant à un utilisateur mal intentionné de réaliser un déni de service et d'exécuter du code arbitraire à distance.

Contournement provisoire

Filtrer le port 631/TCP au niveau du garde-barrière.

Solution

Mettre à jour CUPS en version 1.1.18.
Le téléchargement de la nouvelle version de CUPS se fait depuis l'adresse : 

http://www.cups.org/software.html

Documentation

Gestion détaillée du document

    le 20 décembre 2002
    version initiale.
    le 23 décembre 2002
    ajout référence au bulletin de sécurité d'Apple.
    le 03 janvier 2003
    ajout des bulletins de sécurité Suse et Gentoo.
    le 13 janvier 2003
    ajout du bulletin de sécurité Mandrake.
    le 14 janvier 2003
    ajout du bulletin de sécurité RedHat.
    le 21 janvier 2003
    ajout du bulletin de sécurité Debian.