Po dveh tednih od prejšnje kritične težave v še štiri podobne ranljivosti (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), ki omogočajo zaobidenje izolske nastavitve „-dSAFER“ preko ustvarjanja povezave na „.forceput“. Pri obdelavi posebno pripravljene dokumentacije lahko napadalec dostopa do vsebine datotečnega sistema in izvede poljubno kodo v sistemu (na primer, skozi dodajanje ukazov v ~/\.bashrc ali ~/\.profile). Popravki so na voljo v obliki popravkov (, ). Sproti lahko spremljate objavo posodobitev paketov v distribucijah na naslednjih straneh: , , , , , , , .
Spomnimo, da ranljivosti v Ghostscript predstavljajo povečano tveganje, ker se to orodje uporablja v mnogih priljubljenih aplikacijah za obdelavo formatov PostScript in PDF. Na primer, Ghostscript se uporablja pri ustvarjanju miniatur na namizju, pri ozadnji indeksaciji podatkov in pri pretvorbi slik. Za uspešen napad je v mnogih primerih dovolj, da preprosto naložite datoteko z izkoriščanjem ali si ogledate imenik z njo v Nautilusu. Ranljivosti v Ghostscript lahko tudi izkoriščate preko obdelovalnikov slik, ki temeljijo na paketih ImageMagick in GraphicsMagick, tako da jim posredujete JPEG ali PNG datoteko, v kateri namesto slike leži koda PostScript (ta datoteka bo obdelana v Ghostscript, ker MIME tip prepozna po vsebini in se ne zanaša na končnico).
Izvor: opennet.ru
