Ghostscript मा अर्को 4 कमजोरीहरू

दुई हप्ता पछि पत्ता लगाउने विगतको महत्वपूर्ण मुद्दा मा घोस्टस्क्रिप्ट पहिचान गरियो 4 थप समान जोखिमहरू (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), जसले "-dSAFER" अलगाव मोडलाई बाइपास गर्न ".forceput" मा लिङ्क सिर्जना गरेर अनुमति दिन्छ। । विशेष रूपमा डिजाइन गरिएका कागजातहरू प्रशोधन गर्दा, आक्रमणकारीले फाइल प्रणालीको सामग्रीहरूमा पहुँच प्राप्त गर्न सक्छ र प्रणालीमा स्वेच्छाचारी कोड कार्यान्वयन गर्न सक्छ (उदाहरणका लागि, ~/.bashrc वा ~/. प्रोफाइलमा आदेशहरू थपेर)। फिक्स प्याचको रूपमा उपलब्ध छ (1, 2)। तपाईंले यी पृष्ठहरूमा वितरणमा प्याकेज अद्यावधिकहरूको उपलब्धता ट्र्याक गर्न सक्नुहुन्छ: Debian, फेडोरा, Ubuntu, SUSE/openSUSE, RHEL, आर्क, रोजा, फ्रिबिएसडि.

हामी तपाईंलाई याद गरौं कि Ghostscript मा कमजोरीहरूले बढ्दो खतरा निम्त्याउँछ, किनकि यो प्याकेज पोस्टस्क्रिप्ट र PDF ढाँचाहरू प्रशोधन गर्न धेरै लोकप्रिय अनुप्रयोगहरूमा प्रयोग गरिन्छ। उदाहरणका लागि, Ghostscript लाई डेस्कटप थम्बनेल सिर्जना, पृष्ठभूमि डेटा अनुक्रमणिका, र छवि रूपान्तरणको समयमा बोलाइन्छ। सफल आक्रमणको लागि, धेरै अवस्थामा यो केवल शोषणको साथ फाइल डाउनलोड गर्न वा नॉटिलसमा डाइरेक्टरी ब्राउज गर्न पर्याप्त छ। भूतस्क्रिप्टमा कमजोरीहरूलाई छविको सट्टा पोस्टस्क्रिप्ट कोड भएको JPEG वा PNG फाइल पास गरेर ImageMagick र GraphicsMagick प्याकेजहरूमा आधारित छवि प्रोसेसरहरू मार्फत पनि शोषण गर्न सकिन्छ (यस्तो फाइल घोस्टस्क्रिप्टमा प्रशोधन गरिनेछ, किनकि MIME प्रकारले पहिचान गरेको छ। सामग्री, र विस्तार मा निर्भर बिना)।

स्रोत: opennet.ru