Ghostscript의 새로운 취약점

일련의 취약점이 멈추지 않습니다(1, 2, 3, 4, 5, 6)에서 고스트 스크립트, PostScript 및 PDF 형식의 문서를 처리, 변환 및 생성하기 위한 도구 세트입니다. 과거의 취약점처럼 새로운 문제 (CVE-2019-10216)는 특별히 설계된 문서를 처리할 때 "-dSAFER" 격리 모드를 우회하고(".buildfont1" 조작을 통해) 파일 시스템의 콘텐츠에 액세스할 수 있도록 허용하며, 이는 임의의 코드를 실행하는 공격을 구성하는 데 사용할 수 있습니다. (예를 들어 ~ /.bashrc 또는 ~/.profile에 명령을 추가하여) 수정 사항은 다음과 같이 제공됩니다. 반점. 다음 페이지에서 배포판의 패키지 업데이트 가용성을 추적할 수 있습니다. 데비안, 페도라, Ubuntu, 수세/오픈수세, RHEL, 아치, FreeBSD의.

Ghostscript의 취약점은 PostScript 및 PDF 형식을 처리하는 데 널리 사용되는 많은 응용 프로그램에서 사용되므로 위험이 증가한다는 점을 상기시켜 드리겠습니다. 예를 들어, Ghostscript는 데스크탑 썸네일 생성, 배경 데이터 인덱싱 및 이미지 변환 중에 호출됩니다. 성공적인 공격을 위해서는 대부분의 경우 익스플로잇이 포함된 파일을 다운로드하거나 Nautilus에서 해당 파일이 포함된 디렉터리를 탐색하는 것만으로도 충분합니다. Ghostscript의 취약점은 이미지 대신 PostScript 코드가 포함된 JPEG 또는 PNG 파일을 전달하여 ImageMagick 및 GraphicsMagick 패키지 기반 이미지 프로세서를 통해 악용될 수도 있습니다. 내용에 의존하지 않고 확장자에 의존하지 않음).

출처 : opennet.ru