• [^] # Re: Infos à vérifier

    Posté par (site web personnel) . En réponse au journal Faille d'exécution de code à distance dans cups. Évalué à 5.

    C'est à l'auteur de ce journal que je demande de faire cette vérification parce que je pense qu'il a commis une grosse erreur dans l'emballement de la découverte de ce problème.

    Tu as raison. J'avais simplement vérifié que cups tournait avec les droits root et j'en avais déduit, trop rapidement, que les commandes ainsi injectées s'exécutaient avec ces privilèges. Ce n'est pas ce que montre la vidéo postée par Simone, le fichier malveillant appartient à lp.

    Donc en l'état, ça permet une exécution de code en tant que lp, pas en tant que root. L'impact semble dès lors plus limité.

    Est-ce qu'un modérateur peut éditer le journal initial ? Je propose de remplacer le deuxième paragraphe par :

    Plusieurs failles de sécurité ont été publiées concernant le serveur d'impression Linux CUPS et des logiciels qui y sont liés. Combinées, elles permettent à un utilisateur distant de faire exécuter du code en tant que (削除) root (削除ここまで)lp lors d'une impression initiée par un utilisateur du système. (削除) En particulier, elle permet donc à un utilisateur local de devenir root par ce biais. (削除ここまで) [EDIT : retrait de la mention d'élévation de privilège vers root].

    Pouvez-vous en même temps modifier le titre en : "Faille d'exécution de code à distance (削除) / élévation de privilège (削除ここまで) dans cups" ?

    Merci.