ഗോസ്റ്റ്സ്ക്രിപ്റ്റിലെ അടുത്ത 4 കേടുപാടുകൾ

രണ്ടാഴ്ച കഴിഞ്ഞ് കണ്ടെത്തൽ കഴിഞ്ഞ നിർണായക പ്രശ്നം ഗോസ്റ്റ്സ്ക്രിപ്റ്റ് തിരിച്ചറിഞ്ഞു “-dSAFER” മോഡേഷൻ മറികടക്കാൻ “.forceput” എന്നതിലേക്ക് ഒരു ലിങ്ക് സൃഷ്‌ടിച്ച് അനുവദിക്കുന്ന 4 സമാനമായ കേടുപാടുകൾ (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817). . പ്രത്യേകം രൂപകല്പന ചെയ്ത ഡോക്യുമെന്റുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ, ഒരു ആക്രമണകാരിക്ക് ഫയൽ സിസ്റ്റത്തിലെ ഉള്ളടക്കങ്ങളിലേക്ക് ആക്സസ് നേടാനും സിസ്റ്റത്തിൽ അനിയന്ത്രിതമായ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാനും കഴിയും (ഉദാഹരണത്തിന്, ~/.bashrc അല്ലെങ്കിൽ ~/.profile-ലേക്ക് കമാൻഡുകൾ ചേർക്കുന്നതിലൂടെ). പരിഹാരം പാച്ചുകളായി ലഭ്യമാണ് (1, 2). ഈ പേജുകളിലെ വിതരണങ്ങളിലെ പാക്കേജ് അപ്‌ഡേറ്റുകളുടെ ലഭ്യത നിങ്ങൾക്ക് ട്രാക്ക് ചെയ്യാം: ഡെബിയൻ, ഫെഡോറ, ഉബുണ്ടു, SUSE/openSUSE, ആർഎൽഇഎൽ, വളവ്, റോസ, ഫ്രീബിഎസ് ഡി.

പോസ്‌റ്റ്‌സ്‌ക്രിപ്‌റ്റ്, പിഡിഎഫ് ഫോർമാറ്റുകൾ പ്രോസസ്സ് ചെയ്യുന്നതിനായി നിരവധി ജനപ്രിയ ആപ്ലിക്കേഷനുകളിൽ ഈ പാക്കേജ് ഉപയോഗിക്കുന്നതിനാൽ, ഗോസ്റ്റ്‌സ്‌ക്രിപ്റ്റിലെ കേടുപാടുകൾ വർധിച്ച അപകടമാണെന്ന് ഞങ്ങൾ നിങ്ങളെ ഓർമ്മിപ്പിക്കാം. ഉദാഹരണത്തിന്, ഡെസ്‌ക്‌ടോപ്പ് ലഘുചിത്ര നിർമ്മാണം, പശ്ചാത്തല ഡാറ്റ സൂചിക, ഇമേജ് പരിവർത്തനം എന്നിവയ്ക്കിടെ ഗോസ്റ്റ്‌സ്‌ക്രിപ്റ്റ് വിളിക്കുന്നു. വിജയകരമായ ആക്രമണത്തിന്, മിക്ക കേസുകളിലും, ചൂഷണം ഉപയോഗിച്ച് ഫയൽ ഡൗൺലോഡ് ചെയ്യുകയോ നോട്ടിലസിൽ ഡയറക്ടറി ബ്രൗസ് ചെയ്യുകയോ ചെയ്താൽ മതിയാകും. Ghostscript-ലെ കേടുപാടുകൾ ഇമേജ് മാജിക്ക്, ഗ്രാഫിക്സ് മാജിക്ക് പാക്കേജുകളെ അടിസ്ഥാനമാക്കിയുള്ള ഇമേജ് പ്രോസസറുകളിലൂടെയും അവയ്ക്ക് ഒരു ചിത്രത്തിന് പകരം പോസ്റ്റ്‌സ്ക്രിപ്റ്റ് കോഡ് അടങ്ങിയ JPEG അല്ലെങ്കിൽ PNG ഫയൽ കൈമാറുന്നതിലൂടെ ചൂഷണം ചെയ്യാവുന്നതാണ് (മൈം തരം തിരിച്ചറിഞ്ഞതിനാൽ അത്തരം ഒരു ഫയൽ Ghostscript-ൽ പ്രോസസ്സ് ചെയ്യും. ഉള്ളടക്കം, വിപുലീകരണത്തെ ആശ്രയിക്കാതെ).

അവലംബം: opennet.ru