ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ ਪੋਸਟਸਕ੍ਰਿਪਟ ਦਸਤਾਵੇਜ਼ ਖੋਲ੍ਹਣ ਵੇਲੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ, ਪੋਸਟਸਕ੍ਰਿਪਟ ਅਤੇ ਪੀਡੀਐਫ ਫਾਰਮੈਟਾਂ ਵਿੱਚ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ, ਪਰਿਵਰਤਨ ਅਤੇ ਬਣਾਉਣ ਲਈ ਟੂਲਸ ਦਾ ਇੱਕ ਸਮੂਹ, ਪਛਾਣ ਕੀਤੀ ਕਮਜ਼ੋਰੀ (CVE-2020-15900), ਜਿਸ ਨਾਲ ਫਾਈਲਾਂ ਨੂੰ ਸੋਧਿਆ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਖਾਸ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੋਸਟ-ਸਕ੍ਰਿਪਟ ਦਸਤਾਵੇਜ਼ਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਆਰਬਿਟਰਰੀ ਕਮਾਂਡਾਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇੱਕ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਇੱਕ ਗੈਰ-ਮਿਆਰੀ ਪੋਸਟ ਸਕ੍ਰਿਪਟ ਆਪਰੇਟਰ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਖੋਜ ਤੁਹਾਨੂੰ ਆਕਾਰ ਦੀ ਗਣਨਾ ਕਰਦੇ ਸਮੇਂ uint32_t ਕਿਸਮ ਦਾ ਓਵਰਫਲੋ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਨਿਰਧਾਰਤ ਬਫਰ ਤੋਂ ਬਾਹਰ ਮੈਮੋਰੀ ਖੇਤਰਾਂ ਨੂੰ ਓਵਰਰਾਈਟ ਕਰੋ ਅਤੇ FS ਵਿੱਚ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰੋ, ਜੋ ਕਿ ਸਿਸਟਮ ਉੱਤੇ ਮਨਮਾਨੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਇੱਕ ਹਮਲੇ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ~/.bashrc ਜਾਂ ~/. ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਕਮਾਂਡਾਂ ਜੋੜ ਕੇ)।

ਸਮੱਸਿਆ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਮੁੱਦੇ 9.50 ਤੋਂ 9.52 ਤੱਕ (ਗਲਤੀ ਮੌਜੂਦ ਰੀਲੀਜ਼ 9.28rc1 ਤੋਂ, ਪਰ, ਅਨੁਸਾਰ ਡੇਟਾ ਖੋਜਕਰਤਾਵਾਂ ਜਿਨ੍ਹਾਂ ਨੇ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ, ਸੰਸਕਰਣ 9.50 ਤੋਂ ਪ੍ਰਗਟ ਹੁੰਦਾ ਹੈ)।

ਰਿਲੀਜ਼ ਵਿੱਚ ਪ੍ਰਸਤਾਵਿਤ ਫਿਕਸ 9.52.1 (ਪੈਚ). ਲਈ ਹਾਟਫਿਕਸ ਪੈਕੇਜ ਅੱਪਡੇਟ ਪਹਿਲਾਂ ਹੀ ਜਾਰੀ ਕੀਤੇ ਜਾ ਚੁੱਕੇ ਹਨ ਡੇਬੀਅਨ, ਉਬਤੂੰ, SUSE. ਵਿੱਚ ਪੈਕੇਜ RHEL ਸਮੱਸਿਆਵਾਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੀਆਂ ਹਨ।

ਆਉ ਅਸੀਂ ਤੁਹਾਨੂੰ ਯਾਦ ਦਿਵਾਉਂਦੇ ਹਾਂ ਕਿ ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਇੱਕ ਵੱਧ ਖ਼ਤਰਾ ਪੈਦਾ ਕਰਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਇਹ ਪੈਕੇਜ ਪੋਸਟਸਕ੍ਰਿਪਟ ਅਤੇ ਪੀਡੀਐਫ ਫਾਰਮੈਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰੀਆਂ ਪ੍ਰਸਿੱਧ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਗੋਸਟਸਕ੍ਰਿਪਟ ਨੂੰ ਡੈਸਕਟੌਪ ਥੰਬਨੇਲ ਬਣਾਉਣ, ਬੈਕਗ੍ਰਾਉਂਡ ਡੇਟਾ ਇੰਡੈਕਸਿੰਗ, ਅਤੇ ਚਿੱਤਰ ਪਰਿਵਰਤਨ ਦੌਰਾਨ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇੱਕ ਸਫਲ ਹਮਲੇ ਲਈ, ਬਹੁਤ ਸਾਰੇ ਮਾਮਲਿਆਂ ਵਿੱਚ ਇਹ ਸਿਰਫ਼ ਐਕਸਪਲੋਇਟ ਨਾਲ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਜਾਂ ਨਟੀਲਸ ਵਿੱਚ ਇਸ ਨਾਲ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਬ੍ਰਾਊਜ਼ ਕਰਨ ਲਈ ਕਾਫੀ ਹੁੰਦਾ ਹੈ। ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਇਮੇਜ ਮੈਗਿਕ ਅਤੇ ਗ੍ਰਾਫਿਕਸਮੈਗਿਕ ਪੈਕੇਜਾਂ ਦੇ ਅਧਾਰ ਤੇ ਚਿੱਤਰ ਪ੍ਰੋਸੈਸਰਾਂ ਦੁਆਰਾ ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਚਿੱਤਰ ਦੀ ਬਜਾਏ ਪੋਸਟਸਕ੍ਰਿਪਟ ਕੋਡ ਵਾਲੀ JPEG ਜਾਂ PNG ਫਾਈਲ ਪਾਸ ਕਰਕੇ ਵੀ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ (ਅਜਿਹੀ ਫਾਈਲ ਨੂੰ ਗੋਸਟਸਕ੍ਰਿਪਟ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਕੀਤਾ ਜਾਵੇਗਾ, ਕਿਉਂਕਿ MIME ਕਿਸਮ ਦੁਆਰਾ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਹੈ। ਸਮੱਗਰੀ, ਅਤੇ ਐਕਸਟੈਂਸ਼ਨ 'ਤੇ ਭਰੋਸਾ ਕੀਤੇ ਬਿਨਾਂ)।

ਸਰੋਤ: opennet.ru