একটি পোস্টস্ক্রিপ্ট নথি খোলা হলে ঘোস্টস্ক্রিপ্টে দুর্বলতা কোড চালানোর অনুমতি দেয়

ঘোস্টস্ক্রিপ্টে, পোস্টস্ক্রিপ্ট এবং পিডিএফ নথিগুলি প্রক্রিয়াকরণ, রূপান্তর এবং তৈরি করার জন্য সরঞ্জামগুলির একটি স্যুট, চিহ্নিত দুর্বলতা (জন্য CVE-2020-15900), যা বিশেষভাবে ফরম্যাট করা পোস্টস্ক্রিপ্ট নথি খোলার সময় ফাইলগুলিকে সংশোধন করতে এবং ইচ্ছামত কমান্ড চালানোর কারণ হতে পারে। একটি নথিতে একটি অ-মানক পোস্টস্ক্রিপ্ট বিবৃতি ব্যবহার করা অনুসন্ধান আকার গণনা করার সময় আপনাকে uint32_t টাইপের একটি ওভারফ্লো করতে দেয়, বরাদ্দকৃত বাফারের বাইরে মেমরি অঞ্চলগুলি ওভাররাইট করতে এবং FS-তে ফাইলগুলি অ্যাক্সেস করতে দেয়, যা সিস্টেমে নির্বিচারে কোড চালানোর জন্য একটি আক্রমণ সংগঠিত করতে ব্যবহার করা যেতে পারে (উদাহরণস্বরূপ, যোগ করে ~/.bashrc বা ~/. প্রোফাইলে কমান্ড দেয়)।

সমস্যা প্রভাবিত করে সমস্যা 9.50 থেকে 9.52 পর্যন্ত (ত্রুটি উপস্থিত রিলিজ 9.28rc1 থেকে, কিন্তু, দ্বারা উপাত্ত গবেষকরা যারা দুর্বলতা আবিষ্কার করেছেন, সংস্করণ 9.50 থেকে প্রদর্শিত হয়)।

রিলিজ প্রস্তাবিত ফিক্স 9.52.1 (তালি) এর জন্য ইতিমধ্যেই হটফিক্স প্যাকেজ আপডেট প্রকাশিত হয়েছে ডেবিয়ান, উবুন্টু, SUSE. মধ্যে প্যাকেজ RHEL সমস্যা প্রভাবিত হয় না।

মনে রাখবেন যে ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলি একটি বর্ধিত ঝুঁকি তৈরি করে, যেহেতু এই প্যাকেজটি পোস্টস্ক্রিপ্ট এবং পিডিএফ ফর্ম্যাট প্রক্রিয়াকরণের জন্য অনেক জনপ্রিয় অ্যাপ্লিকেশনগুলিতে ব্যবহৃত হয়। উদাহরণস্বরূপ, ডেস্কটপ থাম্বনেইল তৈরি করার সময়, ব্যাকগ্রাউন্ডে ডেটা ইন্ডেক্স করার সময় এবং ছবি রূপান্তর করার সময় ঘোস্টস্ক্রিপ্ট বলা হয়। একটি সফল আক্রমণের জন্য, অনেক ক্ষেত্রে, শুধুমাত্র এক্সপ্লয়েট ফাইলটি ডাউনলোড করা বা নটিলাসে এটির সাথে ডিরেক্টরি ব্রাউজ করা যথেষ্ট। ঘোস্টস্ক্রিপ্টের দুর্বলতাগুলিকে ImageMagick এবং GraphicsMagick প্যাকেজগুলির উপর ভিত্তি করে একটি JPEG বা PNG ফাইল পাস করার মাধ্যমে ইমেজ প্রসেসরের মাধ্যমেও কাজে লাগানো যেতে পারে যাতে একটি ছবির পরিবর্তে পোস্টস্ক্রিপ্ট কোড থাকে (এই ধরনের ফাইল ঘোস্টস্ক্রিপ্টে প্রক্রিয়া করা হবে, যেহেতু MIME প্রকারটি স্বীকৃত। বিষয়বস্তু, এবং এক্সটেনশনের উপর নির্ভর না করে)।

উত্স: opennet.ru