To uger efter opdagelsen af af det tidligere kritiske problem i yderligere 4 lignende sårbarheder (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), som gør det muligt at omgå '-dSAFER' isoleringsmetoden ved at oprette et link til '.forceput'. Når specielt udformede dokumenter behandles, kan en angriber få adgang til indholdet af filsystemet og opnå udførelse af vilkårlig kode i systemet (for eksempel ved at tilføje kommandoer til ~/.bashrc eller ~/.profile). Rettelser er tilgængelige i form af patches (, ). Opdateringer af pakker i distributionerne kan følges på følgende sider: , , , , , , , .
Det er vigtigt at bemærke, at sårbarhederne i Ghostscript udgør en betydelig risiko, da denne pakke anvendes i mange populære applikationer til behandling af PostScript- og PDF-formater. For eksempel kaldes Ghostscript i processen med at oprette miniaturebilleder på skrivebordet, ved baggrundsindeksering af data og ved konvertering af billeder. I mange tilfælde er det tilstrækkeligt blot at uploade en fil med et exploit eller se kataloget indeholdende det i Nautilus for at lykkes med et angreb. Sårbarhederne i Ghostscript kan også udnyttes gennem billedbehandlere baseret på ImageMagick og GraphicsMagick-pakkerne ved at overføre en JPEG- eller PNG-fil, hvor PostScript-kode er gemt i stedet for et billede (sådanne filer behandles i Ghostscript, da MIME-typen genkendes ud fra indholdet og ikke afhænger af filtypen).
Kilde: opennet.ru
