TvÄ veckor efter upptÀckten av den tidigare kritiska problemet i ytterligare 4 liknande sÄrbarheter (CVE-2019-14811, CVE-2019-14812, CVE-2019-14813, CVE-2019-14817) som möjliggör en omgÄng av isoleringslÀget "-dSAFER" genom att skapa en lÀnk till ".forceput". Vid bearbetning av speciellt utformade dokument kan en angripare fÄ Ätkomst till filsystemets innehÄll och Ästadkomma exekvering av godtycklig kod i systemet (till exempel genom att lÀgga till kommandon i ~/ .bashrc eller ~/ .profile). En patch finns tillgÀnglig i form av uppdateringar (, ). Du kan följa uppkomsten av paketuppdateringar i distributionerna pÄ dessa sidor: , , , , , , , .
Vi pÄminner om att sÄrbarheterna i Ghostscript utgör en ökad risk, eftersom detta paket anvÀnds i mÄnga populÀra applikationer för hantering av PostScript- och PDF-format. Till exempel anropas Ghostscript i processen att skapa miniatyrbilder pÄ skrivbordet, vid bakgrundsindexering av data och vid bildkonvertering. För en lyckad attack Àr det i mÄnga fall tillrÀckligt att helt enkelt ladda upp en fil med ett exploit eller att blÀddra i en katalog med den i Nautilus. SÄrbarheter i Ghostscript kan ocksÄ utnyttjas genom bildhanterare baserade pÄ paketen ImageMagick och GraphicsMagick, genom att överföra en JPEG- eller PNG-fil dÀr istÀllet för en bild finns PostScript-kod (denna fil kommer att bearbetas i Ghostscript, eftersom MIME-typen kÀnnas igen av innehÄllet, snarare Àn att förlita sig pÄ filÀndelsen).
KĂ€lla: opennet.ru
