S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 octobre 2008 No CERTA-2008-AVI-493-002

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans CUPS

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• déni de service à distance.

2 Systèmes affectés

3 Résumé

4 Description

• la première est relative à une erreur dans un filtre pour les imprimantes de marque HP ;
• la seconde concerne le traitement des images de types SGI (Silicon Graphics Image) ;
• la dernière est due à une erreur dans l'utilitaire texttops intégré à CUPS.

L'exploitation de ces vulnérabilités permet à un utilisateur distant malintentionné de provoquer un déni de service ou d'exécuter du code arbitraire.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Liste des changements apportés à la version 1.3.9 de CUPS :

  http://www.cups.org/relnotes.php#010123
  

• Bulletin de sécurité Ubuntu USN-656-1 du 15 octobre 2008 :

  http://www.ubuntu.com/usn/usn-656-1
  

• Bulletin de sécurité RedHat RHSA-2008:0937 du 16 octobre 2008 :

  http://rhn.redhat.com/errata/RHSA-2008-0937.html
  

• Bulletins de sécurité Fedora FEDORA-2008-8801 et FEDORA-2008-8844 du 16 octobre 2008 :

  http://admin.fedoraproject.org/updates/F8/FEDORA-2008-8801
  

  http://admin.fedoraproject.org/updates/F9/FEDORA-2008-8844
  

• Référence CVE CVE-2008-3639 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3639
  

• Référence CVE CVE-2008-3640 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3640
  

• Référence CVE CVE-2008-3641 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3641
  

• Bulletin de sécurité Debian DSA-1656-1 du 20 octobre 2008, "cupsys - several vulnerabilities" :

  http://www.debian.org/security/2008/dsa-1656
  

Gestion détaillée du document

13 octobre 2008

version initiale ;

16 octobre 2008

ajout des bulletins Ubuntu, Redhat et Fedora ;

21 octobre 2008

ajout de la référence au bulletin Debian pour cupsys.