ঘোস্টস্ক্রিপ্টে নতুন দুর্বলতা

দুর্বলতার সিরিজ থামে না (1, 2, 3, 4, 5, 6) ইন প্রস্তুতকারী Ghostscript, পোস্টস্ক্রিপ্ট এবং পিডিএফ ফর্ম্যাটে নথিগুলি প্রক্রিয়াকরণ, রূপান্তর এবং তৈরি করার জন্য সরঞ্জামগুলির একটি সেট৷ অতীতের দুর্বলতার মতো নতুন সমস্যা (জন্য CVE-2019-10216) বিশেষভাবে ডিজাইন করা নথিগুলি প্রক্রিয়া করার সময়, "-dSAFER" আইসোলেশন মোডকে বাইপাস করার অনুমতি দেয় (".buildfont1" এর সাথে ম্যানিপুলেশনের মাধ্যমে) এবং ফাইল সিস্টেমের বিষয়বস্তুতে অ্যাক্সেস পেতে, যা নির্বিচারে কোড চালানোর জন্য একটি আক্রমণ সংগঠিত করতে ব্যবহার করা যেতে পারে। সিস্টেমে (উদাহরণস্বরূপ, ~ /.bashrc বা ~/. প্রোফাইলে কমান্ড যোগ করে)। ফিক্স হিসাবে উপলব্ধ প্যাচ. আপনি এই পৃষ্ঠাগুলিতে বিতরণে প্যাকেজ আপডেটের উপলব্ধতা ট্র্যাক করতে পারেন: ডেবিয়ান, ফেডোরা, উবুন্টু, SUSE/openSUSE, RHEL, খিলান, FreeBSD 'র.

মনে রাখবেন যে ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলি একটি বর্ধিত ঝুঁকি তৈরি করে, যেহেতু এই প্যাকেজটি পোস্টস্ক্রিপ্ট এবং পিডিএফ ফর্ম্যাট প্রক্রিয়াকরণের জন্য অনেক জনপ্রিয় অ্যাপ্লিকেশনগুলিতে ব্যবহৃত হয়। উদাহরণস্বরূপ, ডেস্কটপ থাম্বনেইল তৈরি করার সময়, ব্যাকগ্রাউন্ডে ডেটা ইন্ডেক্স করার সময় এবং ছবি রূপান্তর করার সময় ঘোস্টস্ক্রিপ্ট বলা হয়। একটি সফল আক্রমণের জন্য, অনেক ক্ষেত্রে, শুধুমাত্র এক্সপ্লয়েট ফাইলটি ডাউনলোড করা বা নটিলাসে এটির সাথে ডিরেক্টরি ব্রাউজ করা যথেষ্ট। ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলিকে ImageMagick এবং GraphicsMagick প্যাকেজগুলির উপর ভিত্তি করে একটি JPEG বা PNG ফাইল পাস করার মাধ্যমে ইমেজ প্রসেসরের মাধ্যমেও কাজে লাগানো যেতে পারে যাতে একটি ছবির পরিবর্তে পোস্টস্ক্রিপ্ট কোড থাকে (এই ধরনের ফাইল ঘোস্টস্ক্রিপ্টে প্রক্রিয়া করা হবে, যেহেতু MIME প্রকারটি স্বীকৃত। বিষয়বস্তু, এবং এক্সটেনশনের উপর নির্ভর না করে)।

উত্স: opennet.ru