S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 14 mars 2003
N° CERTA-2003-AVI-046-002
Affaire suivie par: CERT-FR
le 14 mars 2003

Avis du CERT-FR

Objet: Faille dans le système d’impression lpr

Gestion du document

Référence CERTA-2003-AVI-046-002
Titre Faille dans le système d’impression lpr
Date de la première version 14 mars 2003
Date de la dernière version 22 mai 2003
Source(s) -
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Elévation de privilèges en local.

Systèmes affectés

Systèmes Unix suivants :

  • OpenBSD jusqu'à 3.2 ;
  • SuSE Linux jusqu'à 7.3 ;
  • Debian Linux versions 2.2 et 3.0 ;
  • Mandrake Linux jusqu'à 8.2.

Résumé

Une faille dans la commande lprm permet à un utilisateur local d'obtenir les droits avec lesquels s'éxécute la commande (root ou utilisateur privilégié daemon).

Description

Un débordement de mémoire dans le programme lprm (suppression d'un travail d'impression dans la file d'attente) permet d'injecter du code arbitraire qui sera alors exécuté avec des privilèges élevés, le binaire ayant les droits root ou daemon.

Contournement provisoire

Supprimer les droits ``suid'' de la commande lprm en l'absence de correctif (son usage sera alors restreint).

Solution

Appliquer le correctif de l'éditeur :

Documentation

Référence CVE CAN-2003-0144 :

https://www.cve.org/CVERecord?id=CAN-2003-0144

Gestion détaillée du document

    le 14 mars 2003
    version initiale.
    le 25 mars 2003
    ajout de la distribution Debian et de la référence CVE.
    le 22 mai 2003
    ajout de la distribution Mandrake.