ភាពងាយរងគ្រោះ 4 បន្ទាប់នៅក្នុង Ghostscript

Спустя две недели с момента ការរកឃើញ прошлой критической проблемы в ប្រេត កំណត់អត្តសញ្ញាណ ещё 4 похожие уязвимости (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), которые позволяют через создание ссылки на «.forceput» обойти режим изоляции «-dSAFER». При обработке специально оформленных документов атакующий может получить доступ к содержимому ФС и добиться выполнения произвольного кода в системе (например, через добавление команд в ~/.bashrc или ~/.profile). Исправление доступно в виде патчей (1, 2). За появлением обновления пакетов в дистрибутивах можно проследить на данных страницах: ដេបៀន, Fedora, គូប៊ុនទូ, SUSE/openSUSE, អរ, សំខាន់បំផុត, រ៉ូសា, FreeBSD.

អនុញ្ញាតឱ្យយើងរំលឹកអ្នកថាភាពងាយរងគ្រោះនៅក្នុង Ghostscript បង្កឱ្យមានគ្រោះថ្នាក់កើនឡើង ដោយសារកញ្ចប់នេះត្រូវបានប្រើនៅក្នុងកម្មវិធីពេញនិយមជាច្រើនសម្រាប់ដំណើរការទម្រង់ PostScript និង PDF ។ ឧទាហរណ៍ Ghostscript ត្រូវ​បាន​គេ​ហៅ​អំឡុង​ពេល​បង្កើត​រូបភាព​តូច​របស់​ផ្ទៃតុ ការ​ធ្វើ​លិបិក្រម​ទិន្នន័យ​ផ្ទៃ​ខាង​ក្រោយ និង​ការ​បំប្លែង​រូបភាព។ សម្រាប់ការវាយប្រហារដោយជោគជ័យ ក្នុងករណីជាច្រើន វាគ្រប់គ្រាន់ក្នុងការទាញយកឯកសារដោយប្រើការកេងប្រវ័ញ្ច ឬរកមើលថតជាមួយវានៅក្នុង Nautilus ។ ភាពងាយរងគ្រោះនៅក្នុង Ghostscript ក៏អាចត្រូវបានកេងប្រវ័ញ្ចតាមរយៈកម្មវិធីដំណើរការរូបភាពដោយផ្អែកលើកញ្ចប់ ImageMagick និង GraphicsMagick ដោយបញ្ជូនពួកគេនូវឯកសារ JPEG ឬ PNG ដែលមានលេខកូដ PostScript ជំនួសឱ្យរូបភាព (ឯកសារបែបនេះនឹងត្រូវបានដំណើរការនៅក្នុង Ghostscript ចាប់តាំងពីប្រភេទ MIME ត្រូវបានទទួលស្គាល់ដោយ មាតិកា និងដោយមិនពឹងផ្អែកលើផ្នែកបន្ថែម)។

ប្រភព: opennet.ru