घोस्टस्क्रिप्ट में अगली 4 कमजोरियाँ

दो सप्ताह बाद पता लगाना पिछले महत्वपूर्ण मुद्दे में Ghostscript दिखाया गया 4 और समान कमजोरियाँ (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), जो ".forceput" के लिए एक लिंक बनाकर "-dSAFER" आइसोलेशन मोड को बायपास करने की अनुमति देती हैं। . विशेष रूप से डिज़ाइन किए गए दस्तावेज़ों को संसाधित करते समय, एक हमलावर फ़ाइल सिस्टम की सामग्री तक पहुंच प्राप्त कर सकता है और सिस्टम पर मनमाना कोड निष्पादित कर सकता है (उदाहरण के लिए, ~/.bashrc या ~/.profile में कमांड जोड़कर)। फिक्स पैच के रूप में उपलब्ध है (1, 2). आप इन पृष्ठों पर वितरण में पैकेज अपडेट की उपलब्धता को ट्रैक कर सकते हैं: डेबियन, फेडोरा, Ubuntu, एसयूएसई/ओपनएसयूएसई, RHEL, मेहराब, रोजा, FreeBSD.

हम आपको याद दिला दें कि घोस्टस्क्रिप्ट में कमजोरियाँ एक बढ़ा हुआ खतरा पैदा करती हैं, क्योंकि इस पैकेज का उपयोग पोस्टस्क्रिप्ट और पीडीएफ प्रारूपों को संसाधित करने के लिए कई लोकप्रिय अनुप्रयोगों में किया जाता है। उदाहरण के लिए, डेस्कटॉप थंबनेल निर्माण, पृष्ठभूमि डेटा अनुक्रमण और छवि रूपांतरण के दौरान घोस्टस्क्रिप्ट को कॉल किया जाता है। एक सफल हमले के लिए, कई मामलों में केवल फ़ाइल को एक्सप्लॉइट के साथ डाउनलोड करना या नॉटिलस में इसके साथ निर्देशिका ब्राउज़ करना पर्याप्त है। इमेजमैजिक और ग्राफ़िक्समैजिक पैकेजों पर आधारित छवि प्रोसेसर के माध्यम से घोस्टस्क्रिप्ट में कमजोरियों का फायदा उठाया जा सकता है, उन्हें एक छवि के बजाय पोस्टस्क्रिप्ट कोड वाली जेपीईजी या पीएनजी फ़ाइल पास करके (ऐसी फ़ाइल को घोस्टस्क्रिप्ट में संसाधित किया जाएगा, क्योंकि MIME प्रकार को इसके द्वारा पहचाना जाता है) सामग्री, और विस्तार पर भरोसा किए बिना)।

स्रोत: opennet.ru