Ghostscript 中的接下來 4 個漏洞

兩週後 檢測 過去的關鍵問題 Ghostscript的 已確定 還有4 個類似漏洞（CVE-2019-14811、CVE-2019-14812、CVE-2019-14813、CVE-2019-14817），這些漏洞允許透過建立指向「.forceput」的連結來「繞過-dSAFER ”隔離模式。 當處理特殊設計的文件時，攻擊者可以存取檔案系統的內容並在系統上執行任意程式碼（例如，透過向 ~/.bashrc 或 ~/.profile 新增命令）。 該修復以補丁形式提供（1, 2）。 您可以在這些頁面上追蹤發行版中軟體包更新的可用性： Debian, Fedora, Ubuntu, SUSE/開放SUSE, RHEL, 拱, PINK, FreeBSD的.

回想一下，Ghostscript 中的漏洞會增加風險，因為許多流行的應用程序都使用此程序包來處理 PostScript 和 PDF 格式。 例如，在創建桌面縮略圖、在後台索引數據以及轉換圖像時調用 Ghostscript。 對於一次成功的攻擊，在許多情況下，只需下載漏洞利用文件或在 Nautilus 中使用它瀏覽目錄就足夠了。 Ghostscript 中的漏洞也可以通過基於 ImageMagick 和 GraphicsMagick 包的圖像處理器來利用，方法是向它們傳遞包含 PostScript 代碼而不是圖像的 JPEG 或 PNG 文件（這樣的文件將在 Ghostscript 中處理，因為 MIME 類型被內容，而不依賴於擴展）。

來源： opennet.ru