17.12.2015

BDU:2016-00006 (CVE-2015-8327) — уязвимость фильтра печати Foomatic и операционной системы Ubuntu

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Высокий — 7.5/10 Устранена

Уязвимость компонента foomatic-rip (util.c пакета cups-filters) фильтра печати Foomatic и операционной системы Ubuntu связана с использованием неполного чёрного списка. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды с помощью символа кавычки при печати задания

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 15.04, 15.10, 12.04, 14.04; Foomatic (The Linux Foundation) — версии от 4.0.0 до 4.0.17
Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)

Сведения об уязвимости

Идентификаторы	BDU:2016-00006 · CVE-2015-8327
Уровень опасности	Высокий (базовая оценка CVSS 2.0 — 7.5)
Вектор CVSS 2.0	AV:N/AC:L/Au:N/C:P/I:P/A:P атака по сети, низкая сложность, без аутентификации, частичное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость фильтра печати Foomatic и операционной системы Ubuntu, позволяющая нарушителю выполнить произвольные команды
Даты	Опубликована: 18.01.2016 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 17.12.2015
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем)
Тип ошибки	CWE-184 — неполный черный список
Класс уязвимости	Уязвимость кода

Уязвимое ПО

Ubuntu (Canonical) — версии 15.04, 15.10, 12.04, 14.04 · операционная система · платформа: ARM64
Foomatic (The Linux Foundation) — от 4.0.0 до 4.0.17 · прикладное ПО информационных систем

ОС и платформы

Linux (Сообщество свободного программного обеспечения) — 64-bit

Возможные меры по устранению уязвимости

Обновление. Обновление пакета cups-filters до версии 1.2.0 или более новой

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: