Podatności cups-filters

Przepełnienie całkowitej liczby w pliku filter/texttopdf.c w cups-filters przed wersją 1.0.71 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez spreparowaną wielkość linii w zadaniu drukowania, co prowadzi do przepełnienia bufora w stercie.

W funkcji WriteProlog w pliku filter/texttopdf.c w pakiecie cups-filters przed wersją 1.0.70 występuje przepełnienie bufora na stercie. Umożliwia to zdalnym atakującym spowodowanie awarii usługi lub potencjalne wykonanie dowolnego kodu poprzez mały rozmiar linii w zadaniu drukowania.

Funkcja remove_bad_chars w pliku utils/cups-browsed.c w cups-filters przed wersją 1.0.66 pozwala zdalnym drukarkom IPP na wykonywanie dowolnych poleceń za pomocą kolejnych metaznaków powłoki w modelu lub PDL.

Cups-browsed w cups-filters w wersji 1.0.41 przed 1.0.51 pozwala zdalnym drukarkom IPP na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w modelu lub PDL, co jest związane z generowaniem skryptów interfejsu System V dla kolejek.

W cups-filters w wersjach 2.0.1 i wcześniejszych filtr rastertopclx zawiera przepełnienie bufora na stercie. Przetwarzanie specjalnie spreparowanych danych wejściowych powoduje awarię programu (segmentation fault) i może prowadzić do uszkodzenia pamięci oraz potencjalnego wykonania dowolnego kodu. Problem naprawiono w commicie 956283c.

cups-filters zawiera backendy, filtry i inne oprogramowanie wymagane do działania usługi drukowania CUPS w systemach innych niż macOS. W wersjach przed 1.28.18, poprzez spreparowanie pliku PDF z dużą wartością MediaBox, atakujący może spowodować, że narzędzie pdftoraster zapisze dane poza granicami tablicy. Najpierw duża szerokość MediaBox powoduje dużą wartość header.cupsWidth, następnie obliczenie bytesPerLine = (header.cupsBitsPerPixel * header.cupsWidth + 7) / 8 ulega przepełnieniu, dając małą wartość, co prowadzi do alokacji lineBuf o małym rozmiarze i zapisu poza buforem w writePixel8. W libcupsfilters stwierdzono to samo mnożenie bytesPerLine bez sprawdzania przepełnienia, ale dostarczony przypadek testowy nie powoduje tam przepełnienia. Commit 50d94ca0f2fa6177613c97c59791bde568631865 zawiera poprawkę włączoną do cups-filters w wersji 1.28.18.