Som du ser är vår webbplats inte anpassad för äldre webbläsare. Vi rekommenderar att du uppgraderar till en nyare webbläsare.

Publicerad - Sårbarhet, Ghostscript, ImageMagick, GIMP

Sårbarheter i Ghostscript med flera program

Sårbarheter i Ghostscript kan möjliggöra för en icke autenticerad användare att exekvera godtyckliga kommandon på ett målsystem.

Vad har hänt?

Ghostscript kan, genom att tolka en specifikt utformad skadlig fil, tillåta en icke autenticerad användare att exekvera godtyckliga kommandon och argument med Ghostscripts rättigheter på ett fjärrsystem[1][2].

Påverkade produkter

Ghostscript, och program som använder Ghostscript, på flertalet Linux-, Unix- och BSD-varianter.

ImageMagick
GraphicsMagick
Evience
GIMP
Nautilus
Okular
Samt de flesta andra PDF/PS-verktyg under sagda OS.

Rekommendation

CERT-SE känner till dags dato inte till en permanent lösning för denna sårbarhet men föreslår att följande tillfälliga lösning implementeras skyndsamt[3].

Avaktivera PS, EPS, PDF och XPS i ImageMagick policy.xml

<policy domain="coder" rights="none" pattern="PS" />
<policy domain="coder" rights="none" pattern="PS2" />
<policy domain="coder" rights="none" pattern="PS3" />
<policy domain="coder" rights="none" pattern="EPS" />
<policy domain="coder" rights="none" pattern="PDF" />
<policy domain="coder" rights="none" pattern="XPS" />

Källor

[1] https://bugs.chromium.org/p/project-zero/issues/detail?id=1640
[2] https://www.kb.cert.org/vuls/id/332928
[3] https://www.imagemagick.org/script/security-policy.php