Ghostscript मध्ये नवीन भेद्यता

असुरक्षिततेची मालिका थांबत नाही (1, 2, 3, 4, 5, 6) मध्ये घोस्टस्क्रिप्ट, पोस्टस्क्रिप्ट आणि PDF फॉरमॅटमध्ये दस्तऐवजांवर प्रक्रिया करणे, रूपांतरित करणे आणि व्युत्पन्न करण्यासाठी साधनांचा संच. भूतकाळातील असुरक्षांप्रमाणे नवीन समस्या (सीव्हीई- 2019-10216) विशेषतः डिझाइन केलेल्या दस्तऐवजांवर प्रक्रिया करताना, "-dSAFER" अलगाव मोड (".buildfont1" सह हाताळणीद्वारे) बायपास करण्यास आणि फाइल सिस्टमच्या सामग्रीमध्ये प्रवेश मिळविण्यास अनुमती देते, ज्याचा वापर अनियंत्रित कोड कार्यान्वित करण्यासाठी हल्ला आयोजित करण्यासाठी केला जाऊ शकतो. प्रणालीमध्ये (उदाहरणार्थ, ~ /.bashrc किंवा ~/. प्रोफाइलमध्ये आदेश जोडून). निराकरण म्हणून उपलब्ध आहे पॅच. आपण या पृष्ठांवर वितरणामध्ये पॅकेज अद्यतनांच्या उपलब्धतेचा मागोवा घेऊ शकता: डेबियन, Fedora, उबंटू, SUSE/openSUSE, रहेल, कमान, FreeBSD.

आम्‍ही तुम्‍हाला आठवण करून देतो की घोस्‍क्रिप्‍टमध्‍ये असुरक्षा वाढवण्‍याचा धोका निर्माण होतो, कारण हे पॅकेज पोस्टस्क्रिप्ट आणि पीडीएफ फॉरमॅटवर प्रक्रिया करण्‍यासाठी अनेक लोकप्रिय अॅप्लिकेशन्समध्‍ये वापरले जाते. उदाहरणार्थ, डेस्कटॉप थंबनेल निर्मिती, पार्श्वभूमी डेटा अनुक्रमणिका आणि प्रतिमा रूपांतरण दरम्यान घोस्टस्क्रिप्ट कॉल केले जाते. यशस्वी हल्ल्यासाठी, बर्याच प्रकरणांमध्ये फक्त एक्सप्लोइटसह फाइल डाउनलोड करणे किंवा नॉटिलसमध्ये निर्देशिका ब्राउझ करणे पुरेसे आहे. घोस्टस्क्रिप्टमधील भेद्यता इमेज मॅजिक आणि ग्राफिक्स मॅजिक पॅकेजेसवर आधारित इमेज प्रोसेसरद्वारे इमेजऐवजी पोस्टस्क्रिप्ट कोड असलेली JPEG किंवा PNG फाइल पास करून देखील शोषण केली जाऊ शकते (अशा फाइलवर घोस्टस्क्रिप्टमध्ये प्रक्रिया केली जाईल, कारण MIME प्रकार ओळखला जातो. सामग्री, आणि विस्तारावर अवलंबून न राहता).

स्त्रोत: opennet.ru