ImageMagick द्वारे भूतस्क्रिप्ट असुरक्षा शोषण करण्यायोग्य

घोस्टस्क्रिप्ट, पोस्टस्क्रिप्ट आणि पीडीएफ फॉरमॅटमध्ये दस्तऐवजांवर प्रक्रिया करणे, रूपांतरित करणे आणि जनरेट करण्यासाठी साधनांचा एक संच, एक गंभीर असुरक्षा (CVE-2021-3781) आहे जी विशेष स्वरूपित फाइलवर प्रक्रिया करताना अनियंत्रित कोड अंमलबजावणीला अनुमती देते. सुरुवातीला, समस्या एमिल लर्नर यांच्या लक्षात आणून दिली, ज्यांनी 25 ऑगस्ट रोजी सेंट पीटर्सबर्ग येथे आयोजित झिरोनाइट्स एक्स कॉन्फरन्समध्ये असुरक्षिततेबद्दल बोलले होते (बग बाउंटी प्रोग्रामचा एक भाग म्हणून एमिलने असुरक्षिततेचा कसा वापर केला याचे अहवालात वर्णन केले आहे. AirBNB, Dropbox आणि Yandex.Real Estate) या सेवांवर हल्ले दाखवून बोनस मिळवा.

5 सप्टेंबर रोजी, सार्वजनिक डोमेनमध्ये एक कार्यरत शोषण दिसून आले जे तुम्हाला php-imagemagick पॅकेज वापरून सर्व्हरवर चालत असलेल्या वेब स्क्रिप्टवर इमेज म्हणून लोड केलेले विशेष डिझाइन केलेले दस्तऐवज प्रसारित करून Ubuntu 20.04 चालवणार्‍या सिस्टमवर हल्ला करण्याची परवानगी देते. शिवाय, प्राथमिक माहितीनुसार, असाच शोषण मार्चपासून वापरात आहे. घोस्टस्क्रिप्ट 9.50 चालवणार्‍या सिस्टीमवर हल्ला केला जाऊ शकतो असा दावा करण्यात आला होता, परंतु असे दिसून आले की Git मधील विकास 9.55 रिलीझसह घोस्टस्क्रिप्टच्या सर्व पुढील आवृत्त्यांमध्ये भेद्यता उपस्थित होती.

हे निराकरण 8 सप्टेंबर रोजी प्रस्तावित करण्यात आले होते आणि समवयस्क पुनरावलोकनानंतर, 9 सप्टेंबर रोजी GhostScript भांडारात स्वीकारले गेले. बर्‍याच वितरणांमध्ये, समस्या कायम आहे (डेबियन, उबंटू, फेडोरा, SUSE, RHEL, Arch Linux, FreeBSD, NetBSD च्या पृष्ठांवर अद्यतनांच्या प्रकाशनाची स्थिती पाहिली जाऊ शकते). असुरक्षिततेसाठी एक घोस्टस्क्रिप्ट रिलीझ महिना संपण्यापूर्वी प्रकाशित करण्याची योजना आहे.

पोस्टस्क्रिप्ट डिव्हाइस "%pipe%" च्या पॅरामीटर्सची अपुरी तपासणी केल्यामुळे "-dSAFER" अलगाव मोडला बायपास करण्याच्या शक्यतेमुळे समस्या उद्भवली आहे, ज्याने अनियंत्रित शेल कमांड्सची अंमलबजावणी करण्यास परवानगी दिली आहे. उदाहरणार्थ, डॉक्युमेंटमध्ये आयडी युटिलिटी लाँच करण्यासाठी, फक्त “(%pipe%/tmp/&id)(w)file” किंवा “(%pipe%/tmp/;id)(r)file” ही ओळ निर्दिष्ट करा.

आम्‍ही तुम्‍हाला आठवण करून देतो की घोस्‍क्रिप्‍टमध्‍ये असुरक्षा वाढवण्‍याचा धोका निर्माण होतो, कारण हे पॅकेज पोस्टस्क्रिप्ट आणि पीडीएफ फॉरमॅटवर प्रक्रिया करण्‍यासाठी अनेक लोकप्रिय अॅप्लिकेशन्समध्‍ये वापरले जाते. उदाहरणार्थ, डेस्कटॉप थंबनेल निर्मिती, पार्श्वभूमी डेटा अनुक्रमणिका आणि प्रतिमा रूपांतरण दरम्यान घोस्टस्क्रिप्ट कॉल केले जाते. यशस्वी हल्ल्यासाठी, बर्‍याच प्रकरणांमध्ये फक्त एक्सप्लॉइटसह फाइल डाउनलोड करणे किंवा त्यासह निर्देशिका फाइल व्यवस्थापकामध्ये पाहणे पुरेसे आहे जे दस्तऐवज लघुप्रतिमा प्रदर्शित करण्यास समर्थन देते, उदाहरणार्थ, नॉटिलसमध्ये.

घोस्टस्क्रिप्टमधील भेद्यता इमेज मॅजिक आणि ग्राफिक्स मॅजिक पॅकेजेसवर आधारित इमेज प्रोसेसरद्वारे इमेजऐवजी पोस्टस्क्रिप्ट कोड असलेली JPEG किंवा PNG फाइल पास करून देखील शोषण केली जाऊ शकते (अशा फाइलवर घोस्टस्क्रिप्टमध्ये प्रक्रिया केली जाईल, कारण MIME प्रकार ओळखला जातो. सामग्री, आणि विस्तारावर अवलंबून न राहता).

स्त्रोत: opennet.ru