4 ຊ່ອງໂຫວ່ຕໍ່ໄປໃນ Ghostscript

ສອງອາທິດຫຼັງຈາກ ການກວດຫາ ບັນ​ຫາ​ທີ່​ສໍາ​ຄັນ​ທີ່​ຜ່ານ​ມາ​ໃນ​ ghostscript ກໍານົດ 4 ຊ່ອງໂຫວ່ທີ່ຄ້າຍຄືກັນ (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), ເຊິ່ງອະນຸຍາດໃຫ້ສ້າງລິ້ງໄປຫາ “.forceput” ເພື່ອຂ້າມຜ່ານໂໝດໂດດດ່ຽວ “-dSAFER” . ເມື່ອປະມວນຜົນເອກະສານທີ່ຖືກອອກແບບພິເສດ, ຜູ້ໂຈມຕີສາມາດເຂົ້າຫາເນື້ອຫາຂອງລະບົບໄຟລ໌ ແລະປະຕິບັດລະຫັດທີ່ມັກໃນລະບົບ (ຕົວຢ່າງ, ໂດຍການເພີ່ມຄໍາສັ່ງໃສ່ ~/.bashrc ຫຼື ~/.profile). ການ​ແກ້​ໄຂ​ແມ່ນ​ມີ​ຢູ່​ເປັນ patches (1, 2). ທ່ານ​ສາ​ມາດ​ຕິດ​ຕາມ​ການ​ມີ​ຂອງ​ການ​ປັບ​ປຸງ​ຊຸດ​ໃນ​ການ​ແຈກ​ຢາຍ​ຢູ່​ໃນ​ຫນ້າ​ເຫຼົ່າ​ນີ້​: Debian, Fedora, Ubuntu, SUSE/openSUSE, RHEL, ທ້ອງຟ້າ, PINK, FreeBSD.

ຈື່ໄວ້ວ່າຊ່ອງໂຫວ່ໃນ Ghostscript ເຮັດໃຫ້ເກີດຄວາມສ່ຽງເພີ່ມຂຶ້ນ, ເນື່ອງຈາກຊຸດນີ້ຖືກນໍາໃຊ້ໃນຄໍາຮ້ອງສະຫມັກທີ່ນິຍົມຫຼາຍສໍາລັບການປຸງແຕ່ງ PostScript ແລະຮູບແບບ PDF. ຕົວຢ່າງ, Ghostscript ຖືກເອີ້ນໃນເວລາສ້າງຮູບຫຍໍ້ຂອງ desktop, ເມື່ອດັດສະນີຂໍ້ມູນໃນພື້ນຫລັງ, ແລະເມື່ອປ່ຽນຮູບພາບ. ສໍາລັບການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດ, ໃນຫຼາຍໆກໍລະນີ, ພຽງແຕ່ດາວໂຫລດໄຟລ໌ການຂູດຮີດຫຼືຊອກຫາໄດເລກະທໍລີກັບມັນຢູ່ໃນ Nautilus ແມ່ນພຽງພໍ. ຊ່ອງໂຫວ່ໃນ Ghostscript ຍັງສາມາດຖືກຂູດຮີດໂດຍຜ່ານໂປເຊດເຊີຮູບພາບໂດຍອີງໃສ່ແພັກເກັດ ImageMagick ແລະ GraphicsMagick ໂດຍການສົ່ງໄຟລ໌ JPEG ຫຼື PNG ທີ່ມີລະຫັດ PostScript ແທນທີ່ຈະເປັນຮູບພາບ (ໄຟລ໌ດັ່ງກ່າວຈະຖືກປຸງແຕ່ງໃນ Ghostscript, ເພາະວ່າປະເພດ MIME ຖືກຮັບຮູ້ໂດຍ. ເນື້ອໃນ, ແລະໂດຍບໍ່ມີການອີງໃສ່ການຂະຫຍາຍ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru