Nakon dva tjedna od prošlog kritičnog problema u još 4 slične ranjivosti (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), koje omogućuju zaobilaženje načina izolacije „-dSAFER” putem stvaranja veze na „.forceput”. Napadač može pristupiti sadržaju FS-a i ostvariti izvršenje proizvoljnog koda u sustavu (npr. dodavanjem naredbi u ~/.bashrc ili ~/.profile) prilikom obrade posebno oblikovanih dokumenata. Ispravak je dostupan u obliku zakrpa (, ). Praćenje pojave ažuriranja paketa u distribucijama može se pratiti na ovim stranicama: , , , , , , , .
Podsjećamo da ranjivosti u Ghostscriptu predstavljaju povećanu opasnost, budući da se ovaj paket koristi u mnogim popularnim aplikacijama za obradu PostScript i PDF formata. Na primjer, Ghostscript se poziva tijekom kreiranja miniatuura na radnoj površini, pri pozadinskom indeksiranju podataka i pri pretvaranju slika. Za uspješan napad u mnogim slučajevima dovoljno je samo učitati datoteku s exploitom ili pregledati katalog s njom u Nautilusu. Ranjivosti u Ghostscriptu također se mogu eksploatirati putem obrada slika temeljenih na paketima ImageMagick i GraphicsMagick, prosljeđujući im JPEG ili PNG datoteku koja umjesto slike sadrži PostScript kod (takva će datoteka biti obrađena u Ghostscriptu, jer se MIME tip prepoznaje po sadržaju, a ne oslanjajući se na ekstenziju).
Izvor: opennet.ru
