Dua minggu sanggeus isu kritis kaliwat dina 4 kerentanan anu langkung mirip (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817), anu ngamungkinkeun ngalangkungan mode isolasi "-dSAFER" ku nyiptakeun tautan ka ".forceput". Nalika ngolah dokumén anu dirarancang khusus, panyerang tiasa nampi aksés kana eusi sistem file sareng ngahontal palaksanaan kode sawenang dina sistem (contona, ku cara nambihan paréntah ka ~/.bashrc atanapi ~/.profile). Perbaikanna sayogi salaku patch (, ). Anjeun tiasa nuturkeun penampilan apdet pakét dina distribusi dina kaca ieu: , , , , , , , .
Émut yén kerentanan dina Ghostscript nyababkeun résiko ningkat, sabab pakét ieu dianggo dina seueur aplikasi populér pikeun ngolah format PostScript sareng PDF. Salaku conto, Ghostscript disebut nalika nyiptakeun gambar leutik desktop, nalika ngindeks data di latar tukang, sareng nalika ngarobih gambar. Pikeun serangan anu suksés, dina seueur kasus, ngan saukur ngunduh file eksploitasi atanapi ngotéktak diréktori sareng éta di Nautilus cekap. Kerentanan dina Ghostscript ogé tiasa dimanfaatkeun ngaliwatan prosesor gambar dumasar kana bungkusan ImageMagick sareng GraphicsMagick ku cara ngirimkeun file JPEG atanapi PNG anu ngandung kode PostScript tibatan gambar (file sapertos kitu bakal diolah dina Ghostscript, sabab jinis MIME diakui ku eusi, sarta tanpa ngandelkeun extension).
sumber: opennet.ru