Në Ghostscript, një set mjetesh për përpunimin, konvertimin dhe gjenerimin e dokumenteve në formatet PostScript dhe PDF, është zbuluar një dobësi kritike (CVE-2021-3781), e cila lejon ekzekutimin e kodit të rastësishëm gjatë përpunimit të një skedari të formatuar në mënyrë të veçantë. Fillimisht për problemin ka njoftuar Emil Lerner, i cili foli për dobësinë më 25 gusht në konferencën ZeroNights X që u mbajt në Shën Petersburg (në prezantimin e tij ai tregoi si Emil në kuadër të programeve bug bounty e kishte përdorur dobësinë për të fituar shpërblime për demonstruar sulme ndaj shërbimeve të AirBNB, Dropbox dhe Yandex.Ndërtesa).
Më 5 shtator, një eksploatues funksional u publikua në hapësirën e hapur, i cili lejon sulmet ndaj sistemeve me Ubuntu 20.04 përmes transmetimit të një dokumenti të formatuar në mënyrë të veçantë, i ngarkuar si imazh, në skriptin web që ekzekuton paketën php-imagemagick. Sipas të dhënave paraprake, një eksploatues i tillë kishte qenë në përdorim që nga marsi. U tha se ishte e mundur të sulmohej sistemet me GhostScript 9.50, por më vonë u zbulua se dobësia shfaqet edhe në të gjitha versionet e mëvonshme të GhostScript, përfshirë versionin 9.55 në zhvillim nga Git.
Korrigjimi u propozua më 8 shtator dhe pas rishikimit u miratua në depozitat e GhostScript më 9 shtator. Në shumë shpërndarje, problemi mbetet ende i pambyllur (statusin e publikimit të përditësimeve mund ta shikoni në faqet e Debian, Ubuntu, Fedora, SUSE, RHEL, Arch Linux, FreeBSD, NetBSD). Lëshimi i GhostScript me rregullimin e dobësisë pritet të publikohet deri në fund të muajit.
Problemi shkaktohet nga mundësia e kalimit të modit të izolimit «-dSAFER» për shkak të kontrollit të pamjaftueshëm të parametrave të pajisjes Postscript «%pipe%», gjë që lejon ekzekutimin e komandave shell të rastësishme. Për shembull, për të nxjerrë informacione nga utilitari id në dokument, mjafton të specifikosh linjën «(%pipe%/tmp/&id)(w)file» ose «(%pipe%/tmp/;id)(r)file».
Kujtojmë se dobësitë në Ghostscript paraqesin rrezik në rritje, pasi ky paketë përdoret në shumë aplikacione të njohura për përpunimin e formateve PostScript dhe PDF. Për shembull, Ghostscript thirret gjatë krijimit të miniaturave në desktop, gjatë indekseve të dhënave në sfond dhe gjatë konvertimit të imazheve. Për një sulm të suksesshëm, shpesh mjafton thjesht të ngarkohet një skedar me eksploit ose të shqyrtohet një katalog me të në një menaxher skedash që mbështet shfaqjen e miniaturave të dokumenteve, siç është Nautilus.
Dobësitë në Ghostscript gjithashtu mund të shfrytëzohen përmes përpunuesve të imazheve bazuar në paketat ImageMagick dhe GraphicsMagick, duke u dërguar atyre një skedar JPEG ose PNG, në të cilin përveç imazhit ndodhet kodi PostScript (ky skedar do të përpunohen në Ghostscript, pasi tipi MIME njehhet sipas përmbajtjes dhe jo vetëm nga zgjatja).
Burimi: opennet.ru
