घोस्टस्क्रिप्ट में नई भेद्यता

कमजोरियों का सिलसिला नहीं रुकता (1, 2, 3, 4, 5, 6में) Ghostscript, पोस्टस्क्रिप्ट और पीडीएफ प्रारूपों में दस्तावेजों को संसाधित करने, परिवर्तित करने और उत्पन्न करने के लिए उपकरणों का एक सेट। पिछली कमजोरियों की तरह नई समस्या (CVE-2019-10216) विशेष रूप से डिज़ाइन किए गए दस्तावेज़ों को संसाधित करते समय, "-dSAFER" आइसोलेशन मोड (".buildfont1" के साथ हेरफेर के माध्यम से) को बायपास करने और फ़ाइल सिस्टम की सामग्री तक पहुंच प्राप्त करने की अनुमति देता है, जिसका उपयोग मनमाने कोड को निष्पादित करने के लिए हमले को व्यवस्थित करने के लिए किया जा सकता है। सिस्टम में (उदाहरण के लिए, ~ /.bashrc या ~/.profile में कमांड जोड़कर)। फिक्स इस प्रकार उपलब्ध है पैबंद. आप इन पृष्ठों पर वितरण में पैकेज अपडेट की उपलब्धता को ट्रैक कर सकते हैं: डेबियन, फेडोरा, Ubuntu, एसयूएसई/ओपनएसयूएसई, RHEL, मेहराब, FreeBSD.

हम आपको याद दिला दें कि घोस्टस्क्रिप्ट में कमजोरियाँ एक बढ़ा हुआ खतरा पैदा करती हैं, क्योंकि इस पैकेज का उपयोग पोस्टस्क्रिप्ट और पीडीएफ प्रारूपों को संसाधित करने के लिए कई लोकप्रिय अनुप्रयोगों में किया जाता है। उदाहरण के लिए, डेस्कटॉप थंबनेल निर्माण, पृष्ठभूमि डेटा अनुक्रमण और छवि रूपांतरण के दौरान घोस्टस्क्रिप्ट को कॉल किया जाता है। एक सफल हमले के लिए, कई मामलों में केवल फ़ाइल को एक्सप्लॉइट के साथ डाउनलोड करना या नॉटिलस में इसके साथ निर्देशिका ब्राउज़ करना पर्याप्त है। इमेजमैजिक और ग्राफ़िक्समैजिक पैकेजों पर आधारित छवि प्रोसेसर के माध्यम से घोस्टस्क्रिप्ट में कमजोरियों का फायदा उठाया जा सकता है, उन्हें एक छवि के बजाय पोस्टस्क्रिप्ट कोड वाली जेपीईजी या पीएनजी फ़ाइल पास करके (ऐसी फ़ाइल को घोस्टस्क्रिप्ट में संसाधित किया जाएगा, क्योंकि MIME प्रकार को इसके द्वारा पहचाना जाता है) सामग्री, और विस्तार पर भरोसा किए बिना)।

स्रोत: opennet.ru