ISN 2024-19: Sicherheitslücken in CUPS
Erstveröffentlichung am 31. Oktober 2024
CVSS 3.1: 7.8 (Hoch)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Zusammenfassung
In CUPS 2.x, das in IGEL OS verwendet wird, wurden kritische und schwerwiegende Sicherheitslücken entdeckt. Diese betreffen die folgenden IGEL-Produkte:
IGEL OS 12
IGEL OS 11
Details
CUPS ist ein standardbasiertes, Open Source Drucksystem. Das Paket cups-filters stellt Backends, Filter und weitere Software für CUPS 2.x auf Nicht-Mac OS Systemen bereit.
In IGEL OS sind wir von CVE-2024-47177 betroffen. Jeder Wert, der über eine PPD Datei an FoomaticRIPCommandLine übergeben wird, kann als benutzerkontrollierter Befehl ausgeführt werden. Nicht betroffen sind wir hingegen vom öffentlichen Exploit, der CVE-2024-47176 ausnutzt, da cups-browsed standardmäßig nicht verwendet wird. Da die Angriffskette bereits durch das Nichtverwenden von cups-browsed und des Remote Protokolls unterbrochen wird, gilt CVE-2024-47175 als mitigiert.
Update - Anweisungen
OS 12: Aktualisieren Sie auf IGEL OS Version 12.5.1, sobald diese im November verfügbar ist.
OS 11: Aktualisieren Sie auf IGEL OS Version 11.10.210, die im November verfügbar sein wird.
Quellen
CVE-2024-47177 NVD - CVE-2024-47177
CVE-2024-47175 NVD - CVE-2024-47175
CVE-2024-35235 NVD - CVE-2024-35235
CVE-2024-47176 NVD - CVE-2024-47176
CVE-2024-47076 NVD - CVE-2024-47076