BDU:2015-10516

Уязвимость функции cgi_puts сервера печати CUPS, позволяющая нарушителю внедрить произвольный JavaScript- или HTML-код в формируемые страницы веб-интерфейса

Опубликовано: 2016-07-07

Описание

Уязвимость в функции cgi_puts (cgi-bin/template.c) сервера печати CUPS, связана с недостаточной защитой структуры веб-страниц. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, внедрить произвольный JavaScript- или HTML-код в в формируемые страницы веб-интерфейса через параметр QUERY, передаваемый веб-страницам разделов help, classes, printers и jobs

Затрагиваемое ПО и версии

Common Unix Printing System (до 2.0.3)

Способ устранения

Использование рекомендаций производителя:
http://www.cups.org/blog.php?L1082

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

http://googleprojectzero.blogspot.in/2015/06/owning-internet-printing-case-study-in.html http://www.cups.org/blog.php?L1082 https://bugzilla.opensuse.org/show_bug.cgi?id=924208 https://bugzilla.redhat.com/show_bug.cgi?id=1221642 https://code.google.com/p/google-security-research/issues/detail?id=455 https://www.cups.org/str.php?L4609 http://www.kb.cert.org/vuls/id/810572

Проверьте безопасность своего сайта и почты → Полная проверка домена