Red Hat セキュリティアドバイザリ 2014:1388 から：

複数のセキュリティの問題といくつかのバグを修正する更新済みの cups パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

CUPS は、Linux、UNIX 、その他の類似するオペレーティングシステムにポータブルな印刷レイヤーを提供します。

CUPS Web インターフェイスにクロスサイトスクリプティング（XSS）の欠陥が見つかりました。
攻撃者が、この欠陥を利用して、CUPS Web インターフェイスのユーザーに対してクロスサイトスクリプティング攻撃を実行する可能性があります。（CVE-2014-2856）

CUPS が特定のユーザーに、/var/cache/cups/ の下の特定のディレクトリで、シンボリックリンクの作成を許容することが判明しました。「lp」グループ権限を有するローカルのユーザーが、この欠陥を利用して、システム上の任意のファイルの内容を読み取ったり、そのシステム上の権限を昇格する可能性がありました。（CVE-2014-3537、CVE-2014-5029、CVE-2014-5030、 CVE-2014-5031）

CVE-2014-3537 の問題は、Red Hat 製品セキュリティの Francisco Alonso 氏により発見されました。

これらの更新済みの cupsパッケージには、いくつかのバグ修正も含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.6 テクニカルノートを参照してください。

cupsの全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新をインストールした後、 cupsd デーモンは自動的に再起動します。

検出

Oracle Linux 6：cups（ELSA-2014-1388）

medium Nessus プラグイン ID 78522

変更ログが見つかりません