ຊ່ອງໂຫວ່ໃໝ່ໃນ Ghostscript

ຊຸດຂອງຊ່ອງໂຫວ່ບໍ່ຢຸດ (1, 2, 3, 4, 5, 6) ທີ່ ghostscript, ຊຸດເຄື່ອງມືສໍາລັບການປຸງແຕ່ງ, ການແປງແລະການສ້າງເອກະສານ PostScript ແລະ PDF. ຄືກັບຄວາມອ່ອນແອທີ່ຜ່ານມາ ບັນຫາໃຫມ່ (CVE-2019-10216) ອະນຸຍາດໃຫ້, ໃນເວລາທີ່ການປະມວນຜົນເອກະສານທີ່ອອກແບບມາພິເສດ, ເພື່ອຂ້າມ "-dSAFER" ຮູບແບບໂດດດ່ຽວ (ໂດຍຜ່ານການ manipulations ກັບ ".buildfont1") ແລະເຂົ້າເຖິງເນື້ອໃນຂອງລະບົບໄຟລ໌, ຊຶ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອຈັດການໂຈມຕີເພື່ອປະຕິບັດລະຫັດ arbitrary. ໃນລະບົບ (ຕົວຢ່າງ, ໂດຍການເພີ່ມຄໍາສັ່ງໃສ່ ~ /.bashrc ຫຼື ~/.profile). ການແກ້ໄຂແມ່ນມີຢູ່ເປັນ ເພີ້ມ. ທ່ານ​ສາ​ມາດ​ປະ​ຕິ​ບັດ​ຕາມ​ຮູບ​ລັກ​ສະ​ນະ​ຂອງ​ການ​ປັບ​ປຸງ​ຊຸດ​ໃນ​ການ​ແຜ່​ກະ​ຈາຍ​ຢູ່​ໃນ​ຫນ້າ​ເຫຼົ່າ​ນີ້​: Debian, Fedora, Ubuntu, SUSE/openSUSE, RHEL, ທ້ອງຟ້າ, FreeBSD.

ຈື່ໄວ້ວ່າຊ່ອງໂຫວ່ໃນ Ghostscript ເຮັດໃຫ້ເກີດຄວາມສ່ຽງເພີ່ມຂຶ້ນ, ເນື່ອງຈາກຊຸດນີ້ຖືກນໍາໃຊ້ໃນຄໍາຮ້ອງສະຫມັກທີ່ນິຍົມຫຼາຍສໍາລັບການປຸງແຕ່ງ PostScript ແລະຮູບແບບ PDF. ຕົວຢ່າງ, Ghostscript ຖືກເອີ້ນໃນເວລາສ້າງຮູບຫຍໍ້ຂອງ desktop, ເມື່ອດັດສະນີຂໍ້ມູນໃນພື້ນຫລັງ, ແລະເມື່ອປ່ຽນຮູບພາບ. ສໍາລັບການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດ, ໃນຫຼາຍໆກໍລະນີ, ພຽງແຕ່ດາວໂຫລດໄຟລ໌ການຂູດຮີດຫຼືຊອກຫາໄດເລກະທໍລີກັບມັນຢູ່ໃນ Nautilus ແມ່ນພຽງພໍ. ຊ່ອງໂຫວ່ໃນ Ghostscript ຍັງສາມາດຖືກຂູດຮີດໂດຍຜ່ານໂປເຊດເຊີຮູບພາບໂດຍອີງໃສ່ແພັກເກັດ ImageMagick ແລະ GraphicsMagick ໂດຍການສົ່ງໄຟລ໌ JPEG ຫຼື PNG ທີ່ມີລະຫັດ PostScript ແທນທີ່ຈະເປັນຮູບພາບ (ໄຟລ໌ດັ່ງກ່າວຈະຖືກປຸງແຕ່ງໃນ Ghostscript, ເພາະວ່າປະເພດ MIME ຖືກຮັບຮູ້ໂດຍ. ເນື້ອໃນ, ແລະໂດຍບໍ່ມີການອີງໃສ່ການຂະຫຍາຍ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru