Ailagbara ni Ghostscript ti o fun laaye ipaniyan koodu nigba ṣiṣi iwe-ipamọ PostScript kan

Ni Ghostscript, ṣeto awọn irinṣẹ fun sisẹ, iyipada ati ipilẹṣẹ awọn iwe aṣẹ ni PostScript ati awọn ọna kika PDF, mọ ailagbara (CVE-2020-15900), eyiti o le fa ki awọn faili yipada ati awọn aṣẹ lainidii lati ṣiṣẹ nigbati o ṣii awọn iwe aṣẹ PostScript ti a ṣe apẹrẹ pataki. Lilo oniṣẹ PostScript ti kii ṣe boṣewa ni iwe-ipamọ kan iwadi gba ọ laaye lati fa aponsedanu ti iru uint32_t nigbati o ba n ṣe iṣiro iwọn, atunkọ awọn agbegbe iranti ni ita ifipamọ ti a sọtọ ati ni iraye si awọn faili ni FS, eyiti o le ṣee lo lati ṣeto ikọlu lati ṣiṣẹ koodu lainidii lori eto (fun apẹẹrẹ, nipa fifi awọn aṣẹ kun si ~/.bashrc tabi ~/.profaili).

Iṣoro naa ni ipa lori awon oran lati 9.50 si 9.52 (aṣiṣe lọwọlọwọ niwon Tu 9.28rc1, ṣugbọn, gẹgẹ bi fifun awọn oniwadi ti o ṣe idanimọ ailagbara, han lati ẹya 9.50).

Fix dabaa ni Tu 9.52.1 (alemo). Awọn imudojuiwọn package Hotfix ti ti tu silẹ tẹlẹ fun Debian, Ubuntu, suse. Awọn idii ninu RHEL awọn iṣoro ko ni ipa.

Jẹ ki a leti pe awọn ailagbara ni Ghostscript jẹ eewu ti o pọ si, niwọn bi a ti lo package yii ni ọpọlọpọ awọn ohun elo olokiki fun sisẹ PostScript ati awọn ọna kika PDF. Fun apẹẹrẹ, Ghostscript ni a pe lakoko ṣiṣẹda eekanna atanpako tabili, titọka data abẹlẹ, ati iyipada aworan. Fun ikọlu aṣeyọri, ni ọpọlọpọ awọn ọran o to lati ṣe igbasilẹ faili ni irọrun pẹlu ilokulo tabi ṣawari liana pẹlu rẹ ni Nautilus. Awọn ailagbara ni Ghostscript tun le jẹ ilokulo nipasẹ awọn olutọsọna aworan ti o da lori awọn idii ImageMagick ati GraphicsMagick nipa gbigbe wọn JPEG tabi faili PNG ti o ni koodu PostScript dipo aworan kan (iru faili kan yoo ṣiṣẹ ni Ghostscript, nitori iru MIME jẹ idanimọ nipasẹ akoonu, ati laisi gbigbekele itẹsiwaju).

orisun: opennet.ru

Fi ọrọìwòye kun