Seria luk nie kończy się (, , , , , ) W , zestaw narzędzi do przetwarzania, konwertowania i generowania dokumentów w formatach PostScript i PDF. Podobnie jak luki w zabezpieczeniach z przeszłości () pozwala podczas przetwarzania specjalnie zaprojektowanych dokumentów ominąć tryb izolacji „-dSAFER” (poprzez manipulację „.buildfont1”) i uzyskać dostęp do zawartości systemu plików, który można wykorzystać do zorganizowania ataku w celu wykonania dowolnego kodu w systemie (na przykład poprzez dodanie poleceń do ~ /.bashrc lub ~/.profile). Poprawka jest dostępna jako . Możesz śledzić dostępność aktualizacji pakietów w dystrybucjach na tych stronach: , , , , , , .
Przypomnijmy, że luki w Ghostscript stanowią zwiększone zagrożenie, ponieważ pakiet ten jest używany w wielu popularnych aplikacjach do przetwarzania formatów PostScript i PDF. Na przykład Ghostscript jest wywoływany podczas tworzenia miniatur pulpitu, indeksowania danych w tle i konwersji obrazów. Do udanego ataku w wielu przypadkach wystarczy po prostu pobrać plik z exploitem lub przeglądać z nim katalog w Nautilusie. Luki w Ghostscript można również wykorzystać poprzez procesory obrazu oparte na pakietach ImageMagick i GraphicsMagick, przesyłając im zamiast obrazu plik JPEG lub PNG zawierający kod PostScript (taki plik będzie przetwarzany w Ghostscript, ponieważ typ MIME jest rozpoznawany przez treści i bez polegania na rozszerzeniach).
Źródło: opennet.ru