Ghostscript मधील पुढील 4 भेद्यता

दोन आठवड्यांनंतर शोधणे मध्ये मागील गंभीर समस्या घोस्टस्क्रिप्ट ओळखले आणखी 4 समान भेद्यता (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), जे “-dSAFER” अलगाव मोड बायपास करण्यासाठी “.forceput” ला लिंक तयार करून अनुमती देतात . विशेषत: डिझाइन केलेल्या दस्तऐवजांवर प्रक्रिया करताना, आक्रमणकर्ता फाइल सिस्टमच्या सामग्रीमध्ये प्रवेश मिळवू शकतो आणि सिस्टमवर अनियंत्रित कोड कार्यान्वित करू शकतो (उदाहरणार्थ, ~/.bashrc किंवा ~/. प्रोफाइलमध्ये कमांड्स जोडून). निराकरण पॅच म्हणून उपलब्ध आहे (1, 2). आपण या पृष्ठांवर वितरणामध्ये पॅकेज अद्यतनांच्या उपलब्धतेचा मागोवा घेऊ शकता: डेबियन, Fedora, उबंटू, SUSE/openSUSE, रहेल, कमान, रोजा, FreeBSD.

आम्‍ही तुम्‍हाला आठवण करून देतो की घोस्‍क्रिप्‍टमध्‍ये असुरक्षा वाढवण्‍याचा धोका निर्माण होतो, कारण हे पॅकेज पोस्टस्क्रिप्ट आणि पीडीएफ फॉरमॅटवर प्रक्रिया करण्‍यासाठी अनेक लोकप्रिय अॅप्लिकेशन्समध्‍ये वापरले जाते. उदाहरणार्थ, डेस्कटॉप थंबनेल निर्मिती, पार्श्वभूमी डेटा अनुक्रमणिका आणि प्रतिमा रूपांतरण दरम्यान घोस्टस्क्रिप्ट कॉल केले जाते. यशस्वी हल्ल्यासाठी, बर्याच प्रकरणांमध्ये फक्त एक्सप्लोइटसह फाइल डाउनलोड करणे किंवा नॉटिलसमध्ये निर्देशिका ब्राउझ करणे पुरेसे आहे. घोस्टस्क्रिप्टमधील भेद्यता इमेज मॅजिक आणि ग्राफिक्स मॅजिक पॅकेजेसवर आधारित इमेज प्रोसेसरद्वारे इमेजऐवजी पोस्टस्क्रिप्ट कोड असलेली JPEG किंवा PNG फाइल पास करून देखील शोषण केली जाऊ शकते (अशा फाइलवर घोस्टस्क्रिप्टमध्ये प्रक्रिया केली जाईल, कारण MIME प्रकार ओळखला जातो. सामग्री, आणि विस्तारावर अवलंबून न राहता).

स्त्रोत: opennet.ru