ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਨਵੀਂ ਕਮਜ਼ੋਰੀ

ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਲੜੀ ਨਹੀਂ ਰੁਕਦੀ (1, 2, 3, 4, 5, 6) ਵਿੱਚ ਗੋਸਟ ਸਕ੍ਰਿਪਟ, ਪੋਸਟਸਕ੍ਰਿਪਟ ਅਤੇ PDF ਫਾਰਮੈਟਾਂ ਵਿੱਚ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ, ਪਰਿਵਰਤਨ ਅਤੇ ਸਿਰਜਣ ਲਈ ਟੂਲਸ ਦਾ ਇੱਕ ਸਮੂਹ। ਪਿਛਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਵਾਂਗ ਨਵੀਂ ਸਮੱਸਿਆ (CVE-2019-10216) ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ, "-dSAFER" ਆਈਸੋਲੇਸ਼ਨ ਮੋਡ (".buildfont1" ਨਾਲ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ) ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਫਾਈਲ ਸਿਸਟਮ ਦੀਆਂ ਸਮੱਗਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਮਨਮਾਨੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਹਮਲੇ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਸਿਸਟਮ ਵਿੱਚ (ਉਦਾਹਰਨ ਲਈ, ~ /.bashrc ਜਾਂ ~/.profile ਵਿੱਚ ਕਮਾਂਡਾਂ ਜੋੜ ਕੇ)। ਫਿਕਸ ਦੇ ਰੂਪ ਵਿੱਚ ਉਪਲਬਧ ਹੈ ਪੈਚ. ਤੁਸੀਂ ਇਹਨਾਂ ਪੰਨਿਆਂ 'ਤੇ ਵੰਡਾਂ ਵਿੱਚ ਪੈਕੇਜ ਅੱਪਡੇਟ ਦੀ ਉਪਲਬਧਤਾ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ: ਡੇਬੀਅਨ, ਫੇਡੋਰਾ, ਉਬਤੂੰ, ਸੂਸੇ/ਓਪਨਸੂਸੇ, RHEL, ਕਤਰ, ਫ੍ਰੀਸਬੈਡ.

ਆਉ ਅਸੀਂ ਤੁਹਾਨੂੰ ਯਾਦ ਦਿਵਾਉਂਦੇ ਹਾਂ ਕਿ ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਇੱਕ ਵੱਧ ਖ਼ਤਰਾ ਪੈਦਾ ਕਰਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਇਹ ਪੈਕੇਜ ਪੋਸਟਸਕ੍ਰਿਪਟ ਅਤੇ ਪੀਡੀਐਫ ਫਾਰਮੈਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰੀਆਂ ਪ੍ਰਸਿੱਧ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਗੋਸਟਸਕ੍ਰਿਪਟ ਨੂੰ ਡੈਸਕਟੌਪ ਥੰਬਨੇਲ ਬਣਾਉਣ, ਬੈਕਗ੍ਰਾਉਂਡ ਡੇਟਾ ਇੰਡੈਕਸਿੰਗ, ਅਤੇ ਚਿੱਤਰ ਪਰਿਵਰਤਨ ਦੌਰਾਨ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇੱਕ ਸਫਲ ਹਮਲੇ ਲਈ, ਬਹੁਤ ਸਾਰੇ ਮਾਮਲਿਆਂ ਵਿੱਚ ਇਹ ਸਿਰਫ਼ ਐਕਸਪਲੋਇਟ ਨਾਲ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਜਾਂ ਨਟੀਲਸ ਵਿੱਚ ਇਸ ਨਾਲ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਬ੍ਰਾਊਜ਼ ਕਰਨ ਲਈ ਕਾਫੀ ਹੁੰਦਾ ਹੈ। ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਇਮੇਜ ਮੈਗਿਕ ਅਤੇ ਗ੍ਰਾਫਿਕਸਮੈਗਿਕ ਪੈਕੇਜਾਂ ਦੇ ਅਧਾਰ ਤੇ ਚਿੱਤਰ ਪ੍ਰੋਸੈਸਰਾਂ ਦੁਆਰਾ ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਚਿੱਤਰ ਦੀ ਬਜਾਏ ਪੋਸਟਸਕ੍ਰਿਪਟ ਕੋਡ ਵਾਲੀ JPEG ਜਾਂ PNG ਫਾਈਲ ਪਾਸ ਕਰਕੇ ਵੀ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ (ਅਜਿਹੀ ਫਾਈਲ ਨੂੰ ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਕੀਤਾ ਜਾਵੇਗਾ, ਕਿਉਂਕਿ MIME ਕਿਸਮ ਦੁਆਰਾ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਹੈ। ਸਮੱਗਰੀ, ਅਤੇ ਐਕਸਟੈਂਸ਼ਨ 'ਤੇ ਭਰੋਸਾ ਕੀਤੇ ਬਿਨਾਂ)।

ਸਰੋਤ: opennet.ru