- Ghostscript'te kritik seviyede bir uzaktan kod yürütme (RCE) açığı (CVE-2023-36664) bulundu.
- En güncel sürüm olan 10.01.2 ve önceki tüm sürümleri etkiliyor.
- Kroll analistleri G. Glass ve D. Truman, açığın kavram kanıtını (PoC) geliştirdi.
- Açığın kaynağı, Ghostscript içindeki
gp_file_name_reduce() fonksiyonu.
- Bu fonksiyon dosya yollarını birleştirip sadeleştirirken özel bir dosya yoluyla karşılaşırsa beklenmeyen bir sonuç döndürüyor.
- Dosya çalıştırılmadan önce geçerlilik kontrolü yapan
gp_validate_path() fonksiyonu çağrılmadan önce bilgi zaten değiştirilmiş oluyor ve bu sayede normalde erişilemeyen bir yoldaki dosya çalıştırılabiliyor.
- Linux, Windows ve diğer tüm platformlar etkileniyor; ayrıca Ghostscript kullanan tüm yazılımlarda EPS (Embedded Postscript) üzerinden açığın tetiklenebildiği doğrulandı.
- Demo videosu, Windows'ta hesap makinesi veya ileti kutuları açan bir EPS dosyasını gösteriyor.
- Linux sistemlerinin Ghostscript'i derhal en güncel sürüme yükseltmesi gerekiyor; Windows'ta ise bağımlı olunan Ghostscript sürümü güncellenene kadar ilgili yazılımların kullanılmaması öneriliyor.
1 yorum
Güvenlik açığının geçen ay açıklandığı ve çoğu Linux dağıtımında düzeltilmiş sürümün zaten dağıtıldığı söyleniyor.
Ancak asıl sorun, güncellemesi zor olan Windows programları ya da kütüphaneyi gömülü kullanan durumlar gibi görünüyor.
Ghostscript kullanan yer gerçekten çok fazla; bu yüzden çalıştığı ortamları ayrıntılı biçimde gözden geçirmek gerekecek gibi duruyor.