Bug 28572
| Summary: | CVE-2012-5519 - cups lpadmin-to-root privilege escalation | ||
|---|---|---|---|
| Product: | Sisyphus | Reporter: | Vitaly Lipatov <lav> |
| Component: | cups | Assignee: | Anton Farygin <rider> |
| Status: | CLOSED FIXED | QA Contact: | qa-sisyphus |
| Severity: | normal | ||
| Priority: | P3 | CC: | aen, cas, george, mike, rider, sem, zerg |
| Version: | unstable | ||
| Hardware: | all | ||
| OS: | Linux | ||
| Bug Depends on: | |||
| Bug Blocks: | 27685 | ||
(В ответ на комментарий №0)
> Есть проблема CVE-2012-5519, которая может позволить пользователю в группе
> lpadmin получить права root, задействовав web-интерфейс.
> Актуальна ли она для ALT Linux?
>
> http://lists.debian.org/debian-release/2012/11/msg01241.html
> http://web-agent.appspot.com/www.cups.org/str.php?L4223
>
> Но больше интересует проблема с тем, что в качестве предложенного решения они
> отделили параметры с путями в отдельный конфиг cups-files.conf. Это ломает
> совместимость с теми, кто сам генерирует cupsd.conf
Кто его генерирует?
CVE + исправление многих реальных ошибок => блокер дистрибутивов p7 (В ответ на комментарий №1)
...
> > Но больше интересует проблема с тем, что в качестве предложенного решения они
> > отделили параметры с путями в отдельный конфиг cups-files.conf. Это ломает
> > совместимость с теми, кто сам генерирует cupsd.conf
>
> Кто его генерирует?
Я так понимаю, что его генерирует любая программа настройки cups, за исключением его самого.
Мы столкнулись с тем, что в nx используется запуск cupsd под пользователем,
с генерацией персональных настроек, чтобы предоставить пользователю индивидуальных набор принтеров.
Новый cups в Сизифе, CVE исправлен. Если есть иные баги -- открывайте. |
Description
Vitaly Lipatov 2013-02-18 18:08:28 MSK