The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

17.07.2018 09:03  Уязвимости в системе печати CUPS

В системе печати CUPS выявлено несколько уязвимостей, позволяющих локальному злоумышленнику поднять свои привилегии до пользователя root, получить содержимое файлов, доступных только для root, и выйти за пределы sandbox-окружения, в том числе обойти ограничения AppArmor в Debian и Ubuntu. В своей комбинации уязвимости позволяют получить атакующему полноценные root-привилегии в основной системе. В Linux уязвимость затрагивают только системы, в которых непривилегированные пользователи могут вносить изменения в конфигурацию CUPS (например, уязвимы Debian и Ubuntu, но проблема не затрагивает дистрибутивы на базе RHEL). Исправления пока доступны в виде патчей.

  • CVE-2018-4180 - ошибка в обработчике переменных окружения в dnssd позволяет поднять свои привилегии в системе через установку специально оформленного значения в переменной окружения CUPS_SERVERBIN;
  • CVE-2018-4181 - некорректная обработка директивы включения других файлов в конфигурацию (include) позволяет непривилегированному пользователю прочитать содержимое любых файлов в системе;
  • CVE-2018-6553 - некорректная настройка профиля AppArmor для защиты бэкенда dnssd позволяет обойти ограничения доступа cupsd к основной системе через создание обработчика dnssd с другим именем, созданного при помощи жесткой ссылки на dnssd;
  • CVE-2017-18248 - отсутствие проверки использования недопустимых символов в имени пользователя в заданиях вывода на печать может применяться для удалённого инициирования краха CUPS;
  • CVE-2017-15400 - возможность запуска произвольных команд с правами демона CUPS через настройку подставного сервера IPP и передачу специально оформленного файла PPD;


  1. Главная ссылка к новости (https://blog.gdssecurity.com/l...)
  2. OpenNews: Компания Apple объявила о смене лицензии на систему печати CUPS
  3. OpenNews: Релиз системы печати CUPS 2.2
  4. OpenNews: Релиз системы печати CUPS 2.1 с начальной поддержкой 3D-принтеров
  5. OpenNews: Уязвимости в X.Org Server и CUPS
  6. OpenNews: Релиз системы печати CUPS 2.0 с поддержкой systemd
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: cups
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.3, Нанобот (ok), 09:36, 17/07/2018 [ответить] [показать ветку] [···]    [к модератору]
  • +8 +/
    >поднять свои привилегии до пользователя root

    Возможно я сейчас скажу глупость (по причине слабого владения вопросом)...
    А зачем системе печати root-права?

     
     
  • 2.7, jtad (?), 10:01, 17/07/2018 [^] [ответить]    [к модератору]
  • –1 +/
    поднять СВОИ права
     
  • 2.8, Аноним (8), 10:03, 17/07/2018 [^] [ответить]    [к модератору]
  • –1 +/
    >А зачем системе печати root-права?

    Нечасто Нанобот высказывает дельные мысли, в данном случае плюсанул.

     
  • 2.9, Andrey (??), 11:18, 17/07/2018 [^] [ответить]    [к модератору]
  • +1 +/
    Можно, конечно, обойтись механизмом Capabilities для использования 631 порта и udev для раздачи прав доступа к USB-принтерам, но заработает ли это в других UNIX'ах?
     
     
  • 3.11, Аноним (11), 14:23, 17/07/2018 [^] [ответить]    [к модератору]
  • +/
    А не проблемы ли это других UNIX'ов?
     
     
  • 4.14, Аноним (14), 15:10, 17/07/2018 [^] [ответить]    [к модератору]  
  • +6 +/
    >> Capabilities для использования 631 порта и udev для раздачи прав доступа к USB-принтерам
    > А не проблемы ли это других UNIX'ов?

    А не излишне ли любят перепончатые по любому надуманному поводу задирать гузку? ))
    [code]
    man mac_portacl
    mac_portacl – network port access control polic

    HISTORY
         MAC first appeared in FreeBSD 5.0 and mac_portacl first appeared in
         FreeBSD 5.1
    [/code] июнь 2003

    [code]

    % more /usr/local/etc/devd/cups.conf
    # Allow members of group cups to access generic USB printer devices

    notify 100 {
            match "system"          "USB";
            match "subsystem"       "INTERFACE";
            match "type"            "ATTACH";
            match "intclass"        "0x07";
            match "intsubclass"     "0x01";
            match "intprotocol"     "(0x01|0x02|0x03)";
            action "chgrp cups /dev/$cdev; chmod g+rw /dev/$cdev";
    };
    man devd
    HISTORY
         The devd utility first appeared in FreeBSD 5.0
    [/code] январь 2003 (т.е оно старше удава).

     
  • 4.15, Andrey (??), 15:48, 17/07/2018 [^] [ответить]    [к модератору]  
  • +/
    Common UNIX Printing System же.

    В Ubuntu через AppArmor нужные capabilities cupsd выставляются.

    В RHEL/Fedora скорее всего, тоже самое достигается средствами SELinux.

    В Linux capabilities поддерживаются с версии 2.2

     
  • 1.10, fske (?), 14:19, 17/07/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +2 +/
    Зашибись, уязвимость в cups пролезает через AppArmor...Зачем тогда нужна эта хрень?
     
     
  • 2.12, Аноним (11), 14:25, 17/07/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    Ты еще спроси, для чего нужны антивирусы и презервативы.
     
     
  • 3.13, Аноним (-), 14:36, 17/07/2018 [^] [ответить]     [к модератору]  
  • +/
    н-но ведь антивирусы действительно нинужны - шерето с провами рута, сливающее ин... весь текст скрыт [показать]
     
     
  • 4.17, Аноним (17), 08:51, 18/07/2018 [^] [ответить]    [к модератору]  
  • +/
    Вообще-то я пытался намекнуть, что 100% защита достигается только вытаскиванием вилки из розетки.
     
  • 2.16, qcgg (?), 19:06, 17/07/2018 [^] [ответить]    [к модератору]  
  • +/
    > пролезает через AppArmor...Зачем тогда нужна эта хрень?

    Для того, чтобы аффропользователи чувствовали себя защищенными. То, что защита так себе... ну так в убунту все так.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor