Описание
Уязвимость функции scan_ps() библиотеки libppd сервера печати CUPS связана с выходом операции за границы буфера в памяти при обработке длины PPD-файлов. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и выполнить произвольный код
Вендор
ООО «РусБИТех-Астра»
Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «Ред Софт»
АО «ИВК»
Fedora Project
АО «НТЦ ИТ РОСА»
OpenPrinting
АО "НППКТ"
ООО «Открытая мобильная платформа»
Наименование ПО
Astra Linux Special Edition
Debian GNU/Linux
Astra Linux Special Edition для «Эльбрус»
Ubuntu
РЕД ОС
Альт 8 СП
Fedora
РОСА ХРОМ
CUPS
libppd
АЛЬТ СП 10
ОСОН ОСнова Оnyx
ОС Аврора
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
20.04 LTS (Ubuntu)
16.04 ESM (Ubuntu)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
22.04 LTS (Ubuntu)
37 (Fedora)
4.7 (Astra Linux Special Edition)
38 (Fedora)
39 (Fedora)
18.04 ESM (Ubuntu)
23.04 (Ubuntu)
12.4 (РОСА ХРОМ)
до 2.4.7 (CUPS)
2.0rc2 (libppd)
- (АЛЬТ СП 10)
до 2.9 (ОСОН ОСнова Оnyx)
до 5.1.1 включительно (ОС Аврора)
до 5.1.1 включительно (ОС Аврора)
до 5.1.1 включительно (ОС Аврора)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 16.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Canonical Ltd. Ubuntu 22.04 LTS
Fedora Project Fedora 37
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Fedora Project Fedora 38
Fedora Project Fedora 39
Canonical Ltd. Ubuntu 18.04 ESM
Canonical Ltd. Ubuntu 23.04
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «ИВК» АЛЬТ СП 10 -
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9
ООО «Открытая мобильная платформа» ОС Аврора до 5.1.1 включительно
ООО «Открытая мобильная платформа» ОС Аврора до 5.1.1 включительно
ООО «Открытая мобильная платформа» ОС Аврора до 5.1.1 включительно
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для CUPS:
https://github.com/OpenPrinting/cups/releases/tag/v2.4.7
https://github.com/OpenPrinting/cups/security/advisories/GHSA-pf5r-86w9-678h
Для libppd:
https://github.com/OpenPrinting/libppd/security/advisories/GHSA-4f65-6ph5-qwh6
https://github.com/OpenPrinting/libppd/commit/262c909ac5b8676d1c221584c5a760e5e83fae66
https://github.com/OpenPrinting/libppd/releases
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-4504
https://lists.debian.org/debian-lts-announce/2023/09/msg00041.html
Для Ubuntu:
https://ubuntu.com/security/notices/USN-6391-1
https://ubuntu.com/security/notices/USN-6392-1
https://ubuntu.com/security/notices/USN-6391-2
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5WHEJIYMMAIXU2EC35MGTB5LGGO2FFJE/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5WVS4I7JG3LISFPKTM6ADKJXXEPEEWBQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AMYDKIE4PSJDEMC5OWNFCDMHFGLJ57XG/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PXPVADB56NMLJWG4IZ3OZBNJ2ZOLPQJ6/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/T2GSPQAFK2Z6L57TRXEKZDF42K2EVBH7/
Для ОС Astra Linux Special Edition 1.7:
обновить пакет cups до 2.3.3op2-4astra.se23 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для Astra Linux 1.6 «Смоленск»:
обновить пакет cups до 2.2.13-1astra.se29 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения cups до версии 2.2.10-6.osnova41
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2320
Для Astra Linux Special Edition 4.7:
обновить пакет cups до 2.3.3op2-4astra.se23 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Аврора:
https://cve.omp.ru/bb25402
Для ОС Astra Linux:
обновить пакет cups до 2.2.13-1astra.se35 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 9%
0.00036
Низкий
7.8 High
CVSS3
7.2 High
CVSS2
Связанные уязвимости
CVSS3: 7
ubuntu
почти 2 года назад
Due to failure in validating the length provided by an attacker-crafted PPD PostScript document, CUPS and libppd are susceptible to a heap-based buffer overflow and possibly code execution. This issue has been fixed in CUPS version 2.4.7, released in September of 2023.
CVSS3: 7
redhat
почти 2 года назад
Due to failure in validating the length provided by an attacker-crafted PPD PostScript document, CUPS and libppd are susceptible to a heap-based buffer overflow and possibly code execution. This issue has been fixed in CUPS version 2.4.7, released in September of 2023.
CVSS3: 7
nvd
почти 2 года назад
Due to failure in validating the length provided by an attacker-crafted PPD PostScript document, CUPS and libppd are susceptible to a heap-based buffer overflow and possibly code execution. This issue has been fixed in CUPS version 2.4.7, released in September of 2023.
EPSS
Процентиль: 9%
0.00036
Низкий
7.8 High
CVSS3
7.2 High
CVSS2