Dwa tygodnie później przeszły krytyczny problem w 4 kolejne podobne luki (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), które pozwalają poprzez utworzenie linku do „.forceput” ominąć tryb izolacji „-dSAFER” . Podczas przetwarzania specjalnie zaprojektowanych dokumentów osoba atakująca może uzyskać dostęp do zawartości systemu plików i wykonać w systemie dowolny kod (na przykład dodając polecenia do ~/.bashrc lub ~/.profile). Poprawka jest dostępna w postaci łatek (, ). Możesz śledzić dostępność aktualizacji pakietów w dystrybucjach na tych stronach: , , , , , , , .
Przypomnijmy, że luki w Ghostscript stanowią zwiększone zagrożenie, ponieważ pakiet ten jest używany w wielu popularnych aplikacjach do przetwarzania formatów PostScript i PDF. Na przykład Ghostscript jest wywoływany podczas tworzenia miniatur pulpitu, indeksowania danych w tle i konwersji obrazów. Do udanego ataku w wielu przypadkach wystarczy po prostu pobrać plik z exploitem lub przeglądać z nim katalog w Nautilusie. Luki w Ghostscript można również wykorzystać poprzez procesory obrazu oparte na pakietach ImageMagick i GraphicsMagick, przesyłając im zamiast obrazu plik JPEG lub PNG zawierający kod PostScript (taki plik będzie przetwarzany w Ghostscript, ponieważ typ MIME jest rozpoznawany przez treści i bez polegania na rozszerzeniach).
Źródło: opennet.ru