Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
Сообщение от opennews (ok), 22-Ноя-18, 09:25
Представлен (https://www.ghostscript.com/doc/9.26/News.htm) релиз набора инструментов для обработки, преобразования и генерации документов в форматах PostScript и PDF - Ghostscript 9.26 (https://www.ghostscript.com/), в котором устранено несколько уязвимостей, которые позволяют организовать выполнение в системе произвольного кода при обработке в Ghostscript специально оформленных документов. -  CVE-2018-17961 (https://security-tracker.debian.org/tracker/CVE-2018-17961) - уязвимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=16...) вызвана неполным устранением ранее найденной уязвимости CVE-2018-17183 и позволяет через создание обработчика исключения организовать выполнение кода вне sandbox-окружения. -  CVE-2018-18073 (https://security-tracker.debian.org/tracker/CVE-2018-18073) - уязвимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=1690) позволяет организовать выполнение оператора ".forceput" через манипуляции с переданным в обработчик исключения доступом к исполняемому стеку. -  CVE-2018-18284 (https://security-tracker.debian.org/tracker/CVE-2018-18284) - узявимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=1696) позволяет обойти механизм sandbox-изоляции через манипуляцию с векторами с использованием оператора 1Policy; -  Уязвимость (https://security-tracker.debian.org/tracker/TEMP-0291452-29156B), связанная с небезопасным созданием временных файлов в каталоге /tmp (CVE пока не присвоен). Напомним, что уязвимости в Ghostscript представляют повышенную опасность, так как данный пакет используется во многих популярных приложениях для обработки форматов PostScript и PDF. Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus. Уязвимости в Ghostscript также можно эксплуатировать через обработчики изображений на базе пакетов ImageMagick и GraphicsMagick, передав в них JPEG или PNG-файл, в котором вместо картинки находится код PostScript (такой файл будет обработан в Ghostscript, так как MIME-тип распознаётся по содержимому, а не полагаясь на расширение). URL: https://www.ghostscript.com/doc/9.26/News.htm Новость: https://www.opennet.dev/opennews/art.shtml?num=49647
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+1 +/–
Сообщение от timur.davletshin (ok), 22-Ноя-18, 09:25
Да сам удивился, когда в Debian/stable начали новые версии выкладывать... Пару недель 9.25 прилетело, вон теперь этого бум ждать )))
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	17. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Аноним (17), 23-Ноя-18, 14:53
	О, и я обратил на это внимание.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
Сообщение от Аноним (5), 22-Ноя-18, 10:39
Давно удалил, потому что шерето. Привязка бинарного софта к нему несколько огорчает -- приходится от того отказываться.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	8. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+5 +/–
	Сообщение от Аноним (8), 22-Ноя-18, 12:26
	Откажись от компьютера вообще, ибо он есть совокупность шерет, крадущая время твоё и краснеющая глаза твои. Будь как Столлман, и не пользуйся мобилой - ибо и оно есть шерето. И главное не делай ничего, ибо деяние твоё есть шерето, шеретом порождённое и шерето порождающее.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	9. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	–1 +/–
	Сообщение от Stax (ok), 22-Ноя-18, 15:21
	А был же раньше коммерческий вариант, который Aladdin Ghostscript. Там, наверное, таких косяков не допускают. Может им заменить?
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	10. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 15:52
	Так он никуда не девался. У Artifex можно и коммерческий вариант взять. https://www.ghostscript.com/license.html (внизу страницы).
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	12. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от пох (?), 22-Ноя-18, 15:53
	обмани кондуктора - купи билет и сиди дома.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	14. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 16:48
	> обмани кондуктора - купи билет и сиди дома. Не, ну если человеку хочется :)
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	11. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от пох (?), 22-Ноя-18, 15:52
	они оба - aladdin ghostscript. Коммерческая версия отличалась наличием закрытых принтерных драйверов, под какие-то давным-давно рассыпавшиеся из-за отсутствия запчастей древние не-ps-не-hp-принтеры, и когда у последнего полетел ролик - исходники оставшегося кода смержили в общую кучу - уже сильно поболее десятка лет назад, а контора обанкротилась. Остатки купила та странная лавочка, которой посейчас и принадлежит ghostscript.com, но, по-моему, ничем кроме бесконечного меняния лицензии она не отличилась, полагаю, разработчиков там и не держали никогда - наоборот, их бизнес-идеей является предоставление тебе за денежки права НЕ открывать исходники _твоих_ изменений - если они у тебя есть ;-) А для этого нужны не кодеры, а адвокаты.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	13. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 16:39
	> полагаю, разработчиков там и не держали никогда Ну разработчики там, вроде есть, mupdf (https://www.mupdf.com/) довольно бодренько пилят (git http://git.ghostscript.com/?p=mupdf.git;a=shortlog). Довольно прикольная либа ИМХО.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

6. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	–2 +/–
Сообщение от Аноним (6), 22-Ноя-18, 11:58
Нужно просто волевым решением убрать это из всех ведущих дистров. Отказаться, как от IE 6 в свое время.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+1 +/–
	Сообщение от нах (?), 22-Ноя-18, 12:17
	если б вы волевым усилием в свое время отказались от интернета вместе с ie6 - непременно пришли бы к успеху. А поддержка ps и pdf - это уже мелко, это каждый может.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

15. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+2 +/–
Сообщение от Онаним (?), 22-Ноя-18, 20:20
> Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus. Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере, возможность размещать что бы то ни было кроме окон на рабочем столе и индексацию данных ибо не нужно и только лишняя нагрузка на комп. Похоже не зря.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	16. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Ordu (ok), 23-Ноя-18, 14:48
	> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры? Или только показ их отключался?
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	19. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Онаним (?), 24-Ноя-18, 07:44
	>> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере > Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры? > Или только показ их отключался? Приводило - прекращал. Хотя конечно не исключено, что могут быть файловые менеджеры, которые не прекращают.
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	18. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Аноним (17), 23-Ноя-18, 15:10
	Всегда создаю путой файл с аттрибутом "только чтение": $ rm -rf ~/.config/thumbnails && touch ~/.config/thumbnails && chmod 400 ~/.config/thumbnails
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема