A Ghostscript biztonsági rése adatbiztonsági megsértést okozhat

művész

Az Adobe Postscript és a PDF dokumentumok online megfejtésére használt Ghostscript tolmács sebezhetősége a Tavis Ormandy Google biztonsági kutató jelentése és Steve Giguere, az EMEA Synopsis mérnöke zavaros kijelentése után derült ki. Mivel számos programban és adatbázisban a Ghostcript oldal leíró nyelvértelmezője a leggyakrabban alkalmazott rendszer, ezt a sebezhetőséget tömegesen kihasználják és befolyásolják, ha manipulálják őket.

A Giguere által kiadott nyilatkozat szerint a Ghostscript egy lenyűgözően széles körben elfogadott értelmezési rendszer, amelyet helyi alkalmazások, valamint online szerverek és adatkezelő kliensek használnak az Adobe PostScript és PDF formátumok megfejtésére. Például a GIMP és az ImageMagick csomagok, amelyeket megjegyez, szerves részét képezik a webfejlesztésnek, különösen a PDF kontextusában.

Ha a Ghostscript-lel felfedezett társított biztonsági rést kihasználják, az a magánélet megsértését és egy súlyos adatmegsértést jelent, amelynek révén a rosszindulatú támadók hozzáférhetnek privát fájlokhoz. Giguere ezt mondja „Ez a Ghostscript kihasználás kiemelkedő példa a nyílt forráskódú szoftvercsomagok lépcsőzetes függőségeire, ahol egy alapkomponens függőségét nem lehet egyszerűen frissíteni. Még akkor is, ha a CVE-hez hasonló dolog van társítva, és elérhető javítás, másodlagos késleltetés következik be, miközben a csomagok, amelyek ezt beépítik a saját szoftverükbe, például az ImageMagick, javítással ellátott verziót adnak ki.

Giguere szerint ez másodlagos késést okoz, mivel ennek mérséklése közvetlenül attól függ, hogy a szerzők miként oldják meg a problémát, amint felmerül, először is, de ez önmagában nem használható, ha ezeket a megoldott összetevőket nem töltik fel a webszerverekre és az ezeket használó alkalmazások. A kérdéseket alapvetően meg kell oldani, majd frissíteni kell ott, ahol közvetlenül felhasználják őket a hatékony enyhítés érdekében. Mivel ez kétlépcsős folyamat, a rosszindulatú támadók számára mindig rendelkezésre állhat az ilyen típusú biztonsági rések kihasználásához.

Az enyhítési tippek a Giguere-től még: „Rövid távon a PS, EPS, PDF és XPS kódolók alapértelmezés szerinti letiltásának megkezdése az egyetlen védekezés - amíg a javítás nem áll rendelkezésre. Addig zárja be az ajtókat, és talán olvassa el a papír példányokat! ”