Leochaileacht i Ghostscript a cheadaíonn forghníomhú cód nuair a osclaítear doiciméad PostScript

In Ghostscript, sraith uirlisí chun doiciméid a phróiseáil, a thiontú agus a ghiniúint i bhformáidí PostScript agus PDF, aitheanta leochaileacht (CVE-2020-15900), a d’fhéadfadh comhaid a mhodhnú agus orduithe treallach a fhorghníomhú nuair a osclaítear doiciméid PostScript atá saindeartha. Oibreoir PostScript neamhchaighdeánach a úsáid i ndoiciméad taighde ligeann sé duit ró-shreabhadh den chineál uint32_t a chur faoi deara agus an méid á ríomh, forscríobh achair chuimhne lasmuigh den mhaolán leithdháilte agus rochtain a fháil ar chomhaid san FS, ar féidir iad a úsáid chun ionsaí a eagrú chun cód treallach a fhorghníomhú ar an gcóras (mar shampla, trí orduithe a chur le próifíl ~/.bashrc nó ~/.).

Bíonn tionchar ag an bhfadhb saincheisteanna ó 9.50 go 9.52 (earráid i láthair ó scaoileadh 9.28rc1, ach, de réir De réir taighdeoirí a d’aithin an leochaileacht, dealraitheach ó leagan 9.50).

Ceartú molta i scaoileadh 9.52.1 (paiste). Tá nuashonruithe pacáiste Hotfix eisithe cheana féin le haghaidh Debian, ubuntu, SUSE. Pacáistí i RHEL níl tionchar ag fadhbanna.

Thabhairt chun cuimhne go bhfuil riosca méadaithe ag baint leis na leochaileachtaí in Ghostscript, ós rud é go n-úsáidtear an pacáiste seo i go leor feidhmchlár a bhfuil tóir orthu chun formáidí PostScript agus PDF a phróiseáil. Mar shampla, tugtar Ghostscript nuair a bhíonn mionsamhlacha deisce á gcruthú, nuair a bhíonn sonraí á n-innéacsú sa chúlra, agus nuair a bhíonn íomhánna á thiontú. Chun ionsaí rathúil a dhéanamh, i go leor cásanna, is leor an comhad leas a bhaint as nó brabhsáil an eolaire leis in Nautilus. Is féidir leas a bhaint as leochaileachtaí i Ghostscript freisin trí phróiseálaithe íomhá atá bunaithe ar na pacáistí ImageMagick agus GraphicsMagick trí chomhad JPEG nó PNG ina bhfuil cód PostScript a chur in ionad íomhá (próiseálfar a leithéid de chomhad in Ghostscript, ós rud é go n-aithnítear an cineál MIME le an t-ábhar, agus gan a bheith ag brath ar an síneadh).

Foinse: oscailtenet.ru

Add a comment