भूतस्क्रिप्ट भेद्यता ImageMagick मार्फत शोषण योग्य

Ghostscript, PostScript र PDF ढाँचाहरूमा कागजातहरू प्रशोधन, रूपान्तरण र उत्पन्न गर्नका लागि उपकरणहरूको एक सेट, एक महत्वपूर्ण जोखिम (CVE-2021-3781) छ जसले विशेष रूपमा ढाँचा गरिएको फाइल प्रशोधन गर्दा मनमानी कोड कार्यान्वयन गर्न अनुमति दिन्छ। प्रारम्भमा, समस्यालाई एमिल लेर्नरको ध्यानमा ल्याइयो, जसले सेन्ट पिटर्सबर्गमा भएको ZeroNights X सम्मेलनमा अगस्ट २५ मा भेद्यताको बारेमा कुरा गरे (प्रतिवेदनले बग बाउन्टी कार्यक्रमहरूको एक भागको रूपमा एमिलले जोखिमलाई कसरी प्रयोग गर्यो भनेर वर्णन गरेको थियो। AirBNB, Dropbox र Yandex.Real Estate सेवाहरूमा आक्रमणहरू प्रदर्शन गर्नका लागि बोनस प्राप्त गर्नुहोस्)।

सेप्टेम्बर 5 मा, एक कार्य शोषण सार्वजनिक डोमेनमा देखा पर्‍यो जसले तपाईंलाई php-imagemagick प्याकेज प्रयोग गरेर सर्भरमा चलिरहेको वेब स्क्रिप्टमा छविको रूपमा लोड गरिएको विशेष रूपमा डिजाइन गरिएको कागजात पठाएर Ubuntu 20.04 चलिरहेको प्रणालीहरूमा आक्रमण गर्न अनुमति दिन्छ। यसबाहेक, प्रारम्भिक तथ्याङ्क अनुसार, यस्तै शोषण मार्च देखि प्रयोगमा छ। यो दावी गरिएको थियो कि GhostScript 9.50 चलिरहेको प्रणालीहरू आक्रमण गर्न सकिन्छ, तर यो पत्ता लाग्यो कि Git बाट विकास 9.55 रिलीज सहित GhostScript को सबै पछिल्ला संस्करणहरूमा भेद्यता उपस्थित थियो।

फिक्स सेप्टेम्बर 8 मा प्रस्ताव गरिएको थियो र, सहकर्मी समीक्षा पछि, सेप्टेम्बर 9 मा GhostScript भण्डारमा स्वीकार गरियो। धेरै वितरणहरूमा, समस्या स्थिर रहन्छ (अपडेटहरूको प्रकाशनको स्थिति डेबियन, उबुन्टु, फेडोरा, SUSE, RHEL, आर्क लिनक्स, FreeBSD, NetBSD को पृष्ठहरूमा हेर्न सकिन्छ)। असुरक्षाको लागि फिक्सको साथ एक भूतस्क्रिप्ट रिलीज महिनाको अन्त्य अघि प्रकाशित गर्ने योजना गरिएको छ।

समस्या "-dSAFER" आइसोलेसन मोडलाई बाइपास गर्ने सम्भाव्यताको कारणले गर्दा पोस्टस्क्रिप्ट उपकरण "% पाइप%" को प्यारामिटरहरूको अपर्याप्त जाँचको कारणले गर्दा, जसले मनमानी शेल आदेशहरू कार्यान्वयन गर्न अनुमति दिन्छ। उदाहरणको लागि, कागजातमा आईडी उपयोगिता सुरु गर्न, केवल "(% पाइप%/tmp/&id)(w)फाइल" वा "(%pipe%/tmp/;id)(r)फाइल" लाई निर्दिष्ट गर्नुहोस्।

हामी तपाईंलाई याद गरौं कि Ghostscript मा कमजोरीहरूले बढ्दो खतरा निम्त्याउँछ, किनकि यो प्याकेज पोस्टस्क्रिप्ट र PDF ढाँचाहरू प्रशोधन गर्न धेरै लोकप्रिय अनुप्रयोगहरूमा प्रयोग गरिन्छ। उदाहरणका लागि, Ghostscript लाई डेस्कटप थम्बनेल सिर्जना, पृष्ठभूमि डेटा अनुक्रमणिका, र छवि रूपान्तरणको समयमा बोलाइन्छ। सफल आक्रमणको लागि, धेरै अवस्थामा यो केवल एक्सप्लोइटसँग फाइल डाउनलोड गर्न वा फाइल प्रबन्धकमा डाइरेक्टरी हेर्न पर्याप्त छ जसले कागजात थम्बनेलहरू प्रदर्शन गर्न समर्थन गर्दछ, उदाहरणका लागि, नॉटिलसमा।

Ghostscript मा कमजोरीहरूलाई छविको सट्टा पोस्टस्क्रिप्ट कोड भएको JPEG वा PNG फाइल पास गरेर ImageMagick र GraphicsMagick प्याकेजहरूमा आधारित छवि प्रोसेसरहरू मार्फत पनि शोषण गर्न सकिन्छ (यस्तो फाइल Ghostscript मा प्रशोधन गरिनेछ, किनकि MIME प्रकारले पहिचान गरेको छ। सामग्री, र विस्तार मा निर्भर बिना)।

स्रोत: opennet.ru