いくつかのセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加する、更新済みの hplip パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

hplip パッケージには、Hewlett-Packard Linux Imaging and Printing Project（HPLIP）が含まれています。これは、Hewlett-Packard プリンターや多機能周辺機器用のドライバーを提供します。

HPLIP に、いくつかの一時ファイル処理の欠陥が見つかりました。ローカルの攻撃者はこれらの欠陥を使用して、シンボリックリンク攻撃を実行し、HPLIP を使用するプロセスがアクセス可能な任意のファイルを上書きする可能性があります。
（CVE-2013-0200、 CVE-2011-2722）

CVE-2013-0200 の問題は、Red Hat の Tim Waugh 氏により発見されました。

hplip パッケージが Upstream バージョン 3.12.4 にアップグレードされ、以前のバージョンにあった多数のバグ修正と拡張機能が提供されています。（BZ# 731900）

この更新は以下のバグも修正します：

* 以前、hpijs パッケージでは、cups パッケージが提供する廃止された cupsddk-drivers パッケージが必要でした。特定の状況下ではこの依存関係により、hpijs インストールが失敗します。このバグは修正され、cupsddk-drivers が不要になりました。
（BZ#829453）

* Scanner Access Now Easy（SANE）バックエンドの構成は /etc/sane.d/dll/d/ ディレクトリにありますが、hp-check ユーティリティは /etc/sane.d/dll.conf ファイルのみをチェックしていました。結果として、 hp-check は適切なインストールをチェックしましたが、SANE バックエンドがインストールされた方法についての問題を適切に報告しませんでした。この更新によって、 hp-check は両方の場所におけるインストールの問題を期待通りに適切にチェックするようになります。（BZ#683007）

hplip の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、拡張機能を追加することが推奨されます。

この hplip 更新では、以下の問題に対処しています：

印刷/Fax キューは、hp-diagnose-queues を実行することで分析できるようになりました。

いくつかの問題や、より新しい AIO デバイスのデュプレックススキャンサポートを修正

HP Deskjet 3000 J310 シリーズおよび HP Deskjet 3050 J610 シリーズの hp-wificonfig コマンドを使用するワイヤレス構成を修正

HP LaserJet CP1025 および CP1025nw における、ぼやけた印刷の問題を修正

完全な変更ログが upstream で参照できます：
http://hplipopensource.com/hplip-web/release_notes.html 注意：いくつかの問題が upstream で修正されています。

一部の HP プリンター / 多機能デバイスには、hplip が適切に動作するために追加のプラグインを必要とします。この更新では、そのようなプラグインの再インストールを可能にしています。

HPLIP に、いくつかの一時ファイル処理の欠陥が見つかりました。ローカルの攻撃者はこれらの欠陥を使用して、シンボリックリンク攻撃を実行し、HPLIP を使用するプロセスがアクセス可能な任意のファイルを上書きする可能性があります（CVE-2013-0200）。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 3.12.4 以前の HP Linux Imaging および Printing（HPLIP）により、ローカルユーザーは、一時ファイルである（1）/tmp/hpcupsfilterc_ #.bmp、（2）/tmp/hpcupsfilterk_#.bmp、（3）/tmp/hpcups_job#.out、（4）/tmp/hpijs_# ####.out、または（5）/tmp/hpps_job#.out に対するシンボリックリンク攻撃を介して、任意のファイルを上書きする可能性があります（CVE-2011-2722 とは異なる脆弱性）。(CVE-2013-0200)

HPLIP に、いくつかの一時ファイル処理の欠陥が見つかりました。ローカルの攻撃者はこれらの欠陥を使用して、シンボリックリンク攻撃を実行し、HPLIP を使用するプロセスがアクセス可能な任意のファイルを上書きする可能性があります。
（CVE-2013-0200、 CVE-2011-2722）

hplip パッケージが Upstream バージョン 3.12.4 にアップグレードされ、以前のバージョンにあった多数のバグ修正と拡張機能が提供されています。

この更新は以下のバグも修正します：

- 以前、hpijs パッケージでは、cups パッケージが提供する廃止された cupsddk-drivers パッケージが必要でした。特定の状況下ではこの依存関係により、hpijs インストールが失敗します。このバグは修正され、cupsddk-drivers が不要になりました。

- Scanner Access Now Easy（SANE）バックエンドの構成は /etc/sane.d/dll/d/ ディレクトリにありますが、hp-check ユーティリティは /etc/sane.d/dll.conf ファイルのみをチェックしていました。結果として、 hp-check は適切なインストールをチェックしましたが、SANE バックエンドがインストールされた方法についての問題を適切に報告しませんでした。この更新によって、 hp-check は両方の場所におけるインストールの問題を期待通りに適切にチェックするようになります。

3 つのセキュリティの問題を修正するために hplip が更新されました：

- いくつかのローカルファイルは、予測可能な /tmp ファイル名の修正により、問題を上書きします。（CVE-2013-0200）

- hplip は、ローカルの権限昇格を引き起こす可能性がある安全でない polkit DBUS API（polkit-process 対象競合状態）を使用しました。（CVE-2013-4325）

- hplip は、（ハードコードされたファイル名 /tmp/hp-pkservice.log を介して）任意のファイルの作成/上書きを使用します。
 （CVE-2013-6402）

複数の脆弱性が、HP Linux Printing and Imaging System で見つかり、セキュアでない一時ファイル、PackageKit の不十分な権限チェックおよびセキュアでない hp-upgrade サービスが無効にされました。

Red Hat セキュリティアドバイザリ 2013:0500 から：

いくつかのセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加する、更新済みの hplip パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

hplip パッケージには、Hewlett-Packard Linux Imaging and Printing Project（HPLIP）が含まれています。これは、Hewlett-Packard プリンターや多機能周辺機器用のドライバーを提供します。

HPLIP に、いくつかの一時ファイル処理の欠陥が見つかりました。ローカルの攻撃者はこれらの欠陥を使用して、シンボリックリンク攻撃を実行し、HPLIP を使用するプロセスがアクセス可能な任意のファイルを上書きする可能性があります。
（CVE-2013-0200、 CVE-2011-2722）

CVE-2013-0200 の問題は、Red Hat の Tim Waugh 氏により発見されました。

hplip パッケージが Upstream バージョン 3.12.4 にアップグレードされ、以前のバージョンにあった多数のバグ修正と拡張機能が提供されています。（BZ#731900）

この更新は以下のバグも修正します：

* 以前、hpijs パッケージでは、cups パッケージが提供する廃止された cupsddk-drivers パッケージが必要でした。特定の状況下ではこの依存関係により、hpijs インストールが失敗します。このバグは修正され、cupsddk-drivers が不要になりました。
（BZ#829453）

* Scanner Access Now Easy（SANE）バックエンドの構成は /etc/sane.d/dll/d/ ディレクトリにありますが、hp-check ユーティリティは /etc/sane.d/dll.conf ファイルのみをチェックしていました。結果として、 hp-check は適切なインストールをチェックしましたが、SANE バックエンドがインストールされた方法についての問題を適切に報告しませんでした。この更新によって、 hp-check は両方の場所におけるインストールの問題を期待通りに適切にチェックするようになります。（BZ#683007）

hplip の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、拡張機能を追加することが推奨されます。

ファックスの機能を使用するときに、HPLIP が一時ファイルを不適切に処理していることが判明しました。ローカルの攻撃者が、この問題を利用して、任意のファイルを上書きする可能性があります。この問題により影響を受けるのは、 Ubuntu 10.04 LTS のみです。(CVE-2011-2722)

Tim Waugh 氏が、HPLIP が印刷時に一時ファイルを不適切に処理していることを発見しました。ローカルの攻撃者が、この問題を利用して、任意のファイルを上書きする可能性があります。Ubuntu 12.04 LTS および Ubuntu 12.10 のデフォルトインストールの場合、これは Yama リンク制限によって防止される必要があります。（CVE-2013-0200）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
65136	CentOS 6：hplip（CESA-2013:0500）	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	low
66100	Mandriva Linux セキュリティアドバイザリ：graphviz（MDVSA-2013:088）	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	low
64752	RHEL 6：hplip（RHSA-2013:0500）	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	low
80639	Oracle Solaris サードパーティのパッチの更新：hplip（cve_2013_0200_link_following）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	low
65011	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の hplip	Nessus	Scientific Linux Local Security Checks	2013/3/5	2021/1/14	low
72277	SuSE 11.2/11.3 セキュリティ更新：hplip（SAT パッチ番号 8775/8777）	Nessus	SuSE Local Security Checks	2014/2/4	2021/1/19	medium
71769	Debian DSA-2829-1：hplip - いくつかの脆弱性	Nessus	Debian Local Security Checks	2013/12/31	2021/1/11	medium
68741	Oracle Linux 6：hplip（ELSA-2013-0500）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	low
70256	Ubuntu 10.04 LTS / 12.04 LTS / 12.10：hplip 脆弱性（USN-1981-1）	Nessus	Ubuntu Local Security Checks	2013/10/1	2019/9/19	low

検出

プラグインの検索

low

low

low

low

low

medium

medium

low

low