ഗോസ്റ്റ്‌സ്‌ക്രിപ്റ്റിലെ പുതിയ അപകടസാധ്യത

കേടുപാടുകളുടെ പരമ്പര അവസാനിക്കുന്നില്ല (1, 2, 3, 4, 5, 6) ൽ ഗോസ്റ്റ്സ്ക്രിപ്റ്റ്, പോസ്റ്റ്സ്ക്രിപ്റ്റ്, PDF ഫോർമാറ്റുകളിൽ ഡോക്യുമെന്റുകൾ പ്രോസസ്സ് ചെയ്യുന്നതിനും പരിവർത്തനം ചെയ്യുന്നതിനും സൃഷ്ടിക്കുന്നതിനുമുള്ള ഒരു കൂട്ടം ടൂളുകൾ. മുൻകാല ദുർബലതകൾ പോലെ പുതിയ പ്രശ്നം (CVE-2019-10216) പ്രത്യേകം രൂപകല്പന ചെയ്ത ഡോക്യുമെന്റുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ, "-dSAFER" ഐസൊലേഷൻ മോഡ് (".buildfont1" ഉപയോഗിച്ചുള്ള കൃത്രിമത്വങ്ങളിലൂടെ) മറികടക്കാനും ഫയൽ സിസ്റ്റത്തിന്റെ ഉള്ളടക്കത്തിലേക്ക് ആക്സസ് നേടാനും അനുവദിക്കുന്നു, ഇത് അനിയന്ത്രിതമായ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ ഒരു ആക്രമണം സംഘടിപ്പിക്കാൻ ഉപയോഗിക്കാം. സിസ്റ്റത്തിൽ (ഉദാഹരണത്തിന്, ~ /.bashrc അല്ലെങ്കിൽ ~/.profile-ലേക്ക് കമാൻഡുകൾ ചേർക്കുന്നതിലൂടെ). പരിഹരിക്കൽ ആയി ലഭ്യമാണ് പാച്ച്. ഈ പേജുകളിലെ വിതരണങ്ങളിലെ പാക്കേജ് അപ്‌ഡേറ്റുകളുടെ ലഭ്യത നിങ്ങൾക്ക് ട്രാക്ക് ചെയ്യാം: ഡെബിയൻ, ഫെഡോറ, ഉബുണ്ടു, SUSE/openSUSE, ആർഎൽഇഎൽ, വളവ്, ഫ്രീബിഎസ് ഡി.

പോസ്‌റ്റ്‌സ്‌ക്രിപ്‌റ്റ്, പിഡിഎഫ് ഫോർമാറ്റുകൾ പ്രോസസ്സ് ചെയ്യുന്നതിനായി നിരവധി ജനപ്രിയ ആപ്ലിക്കേഷനുകളിൽ ഈ പാക്കേജ് ഉപയോഗിക്കുന്നതിനാൽ, ഗോസ്റ്റ്‌സ്‌ക്രിപ്റ്റിലെ കേടുപാടുകൾ വർധിച്ച അപകടമാണെന്ന് ഞങ്ങൾ നിങ്ങളെ ഓർമ്മിപ്പിക്കാം. ഉദാഹരണത്തിന്, ഡെസ്‌ക്‌ടോപ്പ് ലഘുചിത്ര നിർമ്മാണം, പശ്ചാത്തല ഡാറ്റ സൂചിക, ഇമേജ് പരിവർത്തനം എന്നിവയ്ക്കിടെ ഗോസ്റ്റ്‌സ്‌ക്രിപ്റ്റ് വിളിക്കുന്നു. വിജയകരമായ ആക്രമണത്തിന്, മിക്ക കേസുകളിലും, ചൂഷണം ഉപയോഗിച്ച് ഫയൽ ഡൗൺലോഡ് ചെയ്യുകയോ നോട്ടിലസിൽ ഡയറക്ടറി ബ്രൗസ് ചെയ്യുകയോ ചെയ്താൽ മതിയാകും. Ghostscript-ലെ കേടുപാടുകൾ ഇമേജ് മാജിക്ക്, ഗ്രാഫിക്സ് മാജിക്ക് പാക്കേജുകളെ അടിസ്ഥാനമാക്കിയുള്ള ഇമേജ് പ്രോസസറുകളിലൂടെയും അവയ്ക്ക് ഒരു ചിത്രത്തിന് പകരം പോസ്റ്റ്‌സ്ക്രിപ്റ്റ് കോഡ് അടങ്ങിയ JPEG അല്ലെങ്കിൽ PNG ഫയൽ കൈമാറുന്നതിലൂടെ ചൂഷണം ചെയ്യാവുന്നതാണ് (മൈം തരം തിരിച്ചറിഞ്ഞതിനാൽ അത്തരം ഒരു ഫയൽ Ghostscript-ൽ പ്രോസസ്സ് ചെയ്യും. ഉള്ളടക്കം, വിപുലീകരണത്തെ ആശ്രയിക്കാതെ).

അവലംബം: opennet.ru