Ghostscript恣意代码执行误差清静通告

宣布时间 2019-01-24

误差编号和级别


CVE编号：CVE-2019-6116，危险级别：高危， CVSS分值：厂商自评：7.3，官方未评定


影响规模


受影响版本：

Ghostscript 9.26及更早版本都受影响


误差概述


Ghostscript是一套建基于Adobe、PostScript及可移植文档名堂（PDF）的页面形貌语言等而编译成的免费软件。


Google Project Zero 宣布 Ghostscript误差预警，远端攻击者可使用误差在目的系统执行恣意代码及绕过清静限制。当伪运算符推送子程序时，ghostscript可能会走漏操作数客栈上的敏感运算符。特制的PostScript文件可以使用此缺陷来转义-dSAFER�；�，以便例如可以会见文件系统并执行下令。


误差使用


    现在已有EXP: https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2.


修复建议


软件供应商已提供补丁程序，请升级到9.26版本：https://www.ghostscript.com/documentation.html。

RedHat修复建议：https://access.redhat.com/security/cve/cve-2019-6116。

Ubuntu修复建议：https://usn.ubuntu.com/3866-1/。

ImageMagick 用到了Ghostscript 相关程序，也受到此误差影响，后续会跟踪。


参考链接


https://usn.ubuntu.com/3866-1/

https://access.redhat.com/security/cve/cve-2019-6116

https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2

https://www.ghostscript.com/documentation.html