Ghostscript肆意代码执行缝隙安全公告

颁布功夫 2019-01-24

缝隙编号和级别


CVE编号：CVE-2019-6116，，，， ，，， ，危险级别：高危，，，， ，，， ， CVSS分值：厂商自评：7.3，，，， ，，， ，官方未评定


影响领域


受影响版本：

Ghostscript 9.26及更早版本都受影响


缝隙概述


Ghostscript是一套建基于Adobe、PostScript及可移植文档体式（PDF）的页面描述语言等而编译成的免费软件。。。。。 。。


Google Project Zero 颁布 Ghostscript缝隙预警，，，， ，，， ，远端攻击者可利用缝隙在指标系统执行肆意代码及绕过安全限度。。。。。 。。当伪运算符推送子法式时，，，， ，，， ，ghostscript可能会泄漏操作数仓库上的敏感运算符。。。。。 。。特造的PostScript文件能够使用此缺点来转义-dSAFER�； ；；；；�，，，， ，，， ，以便例如能够接见文件系统并执行号令。。。。。 。。


缝隙利用


    目前已有EXP: https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2.


建复建议


软件供给商已提供补丁法式，，，， ，，， ，请升级到9.26版本：https://www.ghostscript.com/documentation.html。。。。。 。。

RedHat建复建议：https://access.redhat.com/security/cve/cve-2019-6116。。。。。 。。

Ubuntu建复建议：https://usn.ubuntu.com/3866-1/。。。。。 。。

ImageMagick 用到了Ghostscript 有关法式，，，， ，，， ，也受到此缝隙影响，，，， ，，， ，后续会跟踪。。。。。 。。


参考链接


https://usn.ubuntu.com/3866-1/

https://access.redhat.com/security/cve/cve-2019-6116

https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2

https://www.ghostscript.com/documentation.html