OpenForum RSS: Уязвимость в Ghostscript, эксплуатируемая через ImageMagick https://www.opennet.ru/openforum/vsluhforumID3/125227.html В Ghostscript, наборе инструментов для обработки, преобразования и генерации документов в форматах PostScript и PDF, выявлена критическая уязвимость (CVE-2021-3781), позволяющая выполнить произвольный код при обработке специально оформленного файла. Изначально на наличие проблемы обратил внимание Эмиль Лернер, который рассказал об уязвимости 25 августа на прошедшей в Санкт-Петербурге конференции ZeroNights X (в докладе было рассказано, как Эмиль в рамках программ bug bounty использовал уязвимость для получения премий за демонстрацию атак на сервисы AirBNB, Dropbox и Яндекс.Недвижимость)...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=55780<br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (пох.) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#56 Tue, 14 Sep 2021 08:37:49 GMT &gt; В Gentoo imagemagick уже с предложенными защитами поставляется<br><br>в смысле со сломанной обработкой половины графических форматов? Вам к отцу инквизитору. По винтовой лесенке в подвал, и через люк по приставной еще ниже. Он вас там ждет. <br><br><br><br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (пох.) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#55 Tue, 14 Sep 2021 08:35:31 GMT Ну какая "туча всего"? Один весьма странный коллектив, слегка ушибленный "открытыми" стандартами, зачем-то сделал фигню. Вероятнее всего - переконвертив оригиналы, поскольку я по прежнему не верю в существование настолько уродливого сканерного софта.<br><br>Вопрос был риторический, ответ очевиден.<br><br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Tifereth) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#54 Tue, 14 Sep 2021 07:31:34 GMT Ну так взять и спросить, если в самом деле интересно.<br><br>Если исторически *уже* есть туча всего в этом формате, что толку с умным видом говорить, что можно было иначе? Только чтобы пальцы лишний раз изящно растопырить, "а я Д'Артаньян"?<br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Аноним) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#53 Mon, 13 Sep 2021 20:48:48 GMT В Gentoo imagemagick уже с предложенными защитами поставляется (их как с прошлого раза поставили, так и не убирают)<br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Аноним) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#52 Mon, 13 Sep 2021 17:56:57 GMT Не, тогда уж лучше, CUPS удалю, а XXX пусть останется. Его и на экране смотреть можно. :)<br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Аноним) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#51 Mon, 13 Sep 2021 03:49:04 GMT Давно так не смеялся, спасибо, Инквизитор! :) <br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Аноним) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#50 Sun, 12 Sep 2021 20:35:14 GMT &gt;нормальный пацан<br>&gt;positive hack days<br><br>ну-ну.<br> Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (Anonymoustus) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#49 Sun, 12 Sep 2021 19:08:34 GMT Об их мотивах я не осведомлён.<br><br>Что касается шва6оды, не обойтись без бутылки и заглядывания далеко в прошлое. В одном документе пишут ( http://www.diva-portal.org/smash/get/diva2:925474/FULLTEXT01.pdf ):<br><br>&gt; 4.3. Conditions for Implementing Open and Formal Standards in Software<br>&gt; <br>&gt; In this sub-section we present a review of four specific standards with respect to the definition of an open standard and populate the conceptual model with these standards. Of the four specific standards analysed, one informal (consortium) standard (SVG) is provided as a W3C standard (but not as an ISO standard). Further, one formal (ISO) standard (PNG) is included in the explicit list of open standards published in the Netherlands (Standaardisatie, 2014), wwhereas two other formal (ISO) standards (JPEG 2000 and TIFF/EP) are not included in the explicit list and are consequently considered to be closed standards.<br><br>Возможно, девелоперз сабжа сохраняют ориентацию на оный стандарт потому, что JPEG 2000 с самого начала планиро Уязвимость в Ghostscript, эксплуатируемая через ImageMagick (timur.davletshin) https://www.opennet.ru/openforum/vsluhforumID3/125227.html#48 Sun, 12 Sep 2021 18:09:10 GMT &gt; вопрос в том, откуда у них вообще взялись такие уродливые "оригиналы" и <br>&gt; зачем было их выкладывать вместо того, из чего они нагенерены - <br>&gt; я вот уверен, что ни один сканер такого ужаса не порождает. <br><br>Я не знаю, откуда столько пафоса, ты просто явно не пользовался им. Оригинальное сканирование там сделано самими библиотеками, в т.ч. самыми большими в мире, зачастую с цветокалибровочной палитрой в конце. Чего тебе ещё не хватает?<br>