آسیب پذیری جدید در Ghostscript

مجموعه ای از آسیب پذیری ها متوقف نمی شود (1, 2, 3, 4, 5, 6) در شبح اسکریپت، مجموعه ای از ابزارها برای پردازش، تبدیل و تولید اسناد در فرمت های PostScript و PDF. مانند آسیب پذیری های گذشته مشکل جدید (CVE-2019-10216) اجازه می دهد، هنگام پردازش اسناد طراحی شده خاص، از حالت جداسازی "-dSAFER" (از طریق دستکاری با ".buildfont1") عبور کرده و به محتویات سیستم فایل دسترسی پیدا کنید، که می تواند برای سازماندهی یک حمله برای اجرای کد دلخواه استفاده شود. در سیستم (به عنوان مثال، با افزودن دستورات به ~ /.bashrc یا ~/.profile). تعمیر به صورت موجود است پچ. در این صفحات می‌توانید دسترسی به‌روزرسانی‌های بسته را در توزیع‌ها پیگیری کنید: دبیان, کلاه نمدی مردانه, اوبونتو, SUSE/openSUSE, ریل, قوس, FreeBSD.

به شما یادآوری می کنیم که آسیب پذیری ها در Ghostscript خطر بیشتری را ایجاد می کنند، زیرا این بسته در بسیاری از برنامه های محبوب برای پردازش فرمت های PostScript و PDF استفاده می شود. به عنوان مثال، Ghostscript در هنگام ایجاد تصاویر کوچک دسکتاپ، نمایه سازی داده های پس زمینه و تبدیل تصویر فراخوانی می شود. برای یک حمله موفقیت آمیز، در بسیاری از موارد کافی است به سادگی فایل را با اکسپلویت دانلود کنید یا فهرستی را با آن در Nautilus مرور کنید. آسیب‌پذیری‌ها در Ghostscript همچنین می‌توانند از طریق پردازشگرهای تصویر مبتنی بر بسته‌های ImageMagick و GraphicsMagick با ارسال یک فایل JPEG یا PNG حاوی کد PostScript به جای تصویر مورد سوء استفاده قرار گیرند (چنین فایلی در Ghostscript پردازش می‌شود، زیرا نوع MIME توسط محتوا، و بدون اتکا به پسوند).

منبع: opennet.ru

اضافه کردن نظر