В системе печати CUPS (http://www.cups.org) обнаружена (http://www.ubuntu.com/usn/USN-906-1) критическая уязвимость, позволяющая локальному злоумышленнику выполнить код с правами суперпользователя. Проблема присутствует в утилите lppasswd, выполняемой в режиме suid root. Официальное обновление CUPS еще не вышло, но исправления уже доступны для дистрибутивов Ubuntu (http://www.ubuntu.com/usn/USN-906-1) и Debian (http://lists.debian.org/debian-security-announce/2010/msg000...).

Пользователям других дистрибутивов рекомендуется в качестве временной меры срочно убрать suid-бит с исполняемого файла /usr/bin/lppasswd. Утверждается, что опции сборки CUPS в Ubuntu 8.10, 9.04 и 9.10 сводят опасность данной уязвимости к отказу в обслуживании. Дополнительно сообщается о двух менее значительных  проблемах в CUPS, связанных с работой планировщика отправки заданий на принтер. Проблемы позволяют злоумышленнику, имеющему доступ к серверу печати, вызвать крах серверного процесса CUPS.

Кром...

URL: http://httpd.apache.org/security/vulnerabilities_22.html
Новость: http://www.opennet.me/opennews/art.shtml?num=25668

• Уязвимости в CUPS и http-сервере Apache,Анон__666, 12:49 , 04-Мрт-10
  • Уязвимости в CUPS и http-сервере Apache,prapor, 15:12 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,sab, 12:51 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,al, 13:04 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,граммар_наци, 14:35 , 04-Мрт-10
  • Уязвимости в CUPS и http-сервере Apache,Аноним, 17:09 , 04-Мрт-10
    • Уязвимости в CUPS и http-сервере Apache,mclroy, 21:17 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,noname, 14:48 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,Аноним, 15:16 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,anonymous, 15:27 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,User294, 15:56 , 04-Мрт-10
  • Уязвимости в CUPS и http-сервере Apache,anonymous, 16:27 , 04-Мрт-10
    • Уязвимости в CUPS и http-сервере Apache,Аноним, 17:09 , 04-Мрт-10
    • Уязвимости в CUPS и http-сервере Apache,Аноним, 22:19 , 04-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,Mr. Mistoffelees, 23:19 , 04-Мрт-10
  • Уязвимости в CUPS и http-сервере Apache,daevy, 06:16 , 05-Мрт-10
• Уязвимости в CUPS и http-сервере Apache,zomg, 15:57 , 05-Мрт-10

Эээ... на сейчас 11:48 GMT+2 никаких апдейтов для CUPS под Дебиана Сквиз не приходило.
Корпоративный сервак, DC.
Шеф, каким прибором мне пользоваться?

>Эээ... на сейчас 11:48 GMT+2 никаких апдейтов для CUPS под Дебиана Сквиз не приходило.

Squeeze как-бы testing. А вот в Lenny по Security прошло уже. Для Squeeze должно быть там же.

сегодня с утра обновился cups в убунте кармик

~]>la /usr/local/bin/lppasswd
-r-xr-xr-x  1 root  wheel  12048  6 фев 09:39 /usr/local/bin/lppasswd
~]>

FreeBSD не под ударом?

Arch Linux:

-r-xr-xr-x 1 root root 9096 2010-01-17 00:34 /usr/bin/lppasswd

Я правильно понимаю, что мы снова столкнулись с дебиано-специфичной уязвимостью?

Возможно. В Федорке и редхате обновлений нет, но сьюда изначально тоже какбы нет.

Раньше до ~2007 был.

gentoo:
-r-xr-xr-x 1 root root 13788 Фев 11 21:04 /usr/bin/lppasswd

SLES 10/11, OpenSuse11.2:
-rwsr-xr-x 1 lp sys 12848 Sep  5 14:35 /usr/bin/lppasswd

Cups, self-build:
-rwsr-xr-x 1 root root 17404 Jan 12  2009 /usr/bin/lppasswd

> но исправления уже доступны для дистрибутивов Ubuntu и Debian.

Иногда шустрота их майнтанеров является плюсом :)

Вот только их лопоухость ставит жирный минус. У них что, никаких полиси нет на сборку пакетов по элементарной безопасности?

> У них что, никаких полиси нет на сборку пакетов по элементарной безопасности?

есть.

Т.е. вы думаете они с suid собирают чисто по приколу ?

[root@archimed ~]# cat /etc/redhat-release
Fedora release 12 (Constantine)
[root@archimed ~]# ls -l /usr/bin/lppasswd
-r-xr-xr-x 1 root root 13876 2009-12-23 13:25 /usr/bin/lppasswd

+ 1
CentOS release 5.4 (Final)

В слаке нету suid тоже.