Уязвимость удаленного выполнения кода в тулките Ghostscript, который широко применяется в *nix, Windows, MacOS и различных встроенных ОС, позволяет обойти песочницу -dSAFER и уже используется злоумышленниками.
Ghostscript — это интерпретатор для языка PostScript и документов PDF, который входит в состав многих дистрибутивов Linux и используется в различном ПО для конвертации документов (включая ImageMagick, LibreOffice, GIMP, Inkscape, Scribus и CUPS), а также встречается в приложениях для Windows и macOS, и различных встраиваемых системах.
Свежая уязвимость CVE-2024-29510, обнаруженная экспертами Codean Labs, затрагивает все версии Ghostscript до 10.03.0 и более ранние. Она позволяет злоумышленникам обойти песочницу -dSAFER (включенную по умолчанию), и связана с uniprint (universal printer device), который поддерживает формирование командных данных для широкого спектра моделей принтеров путем изменения параметров конфигурации.
Исследователи пишут, что такой обход песочницы опасен тем, что позволяет выполнять опасные операции (включая выполнение команд и I/O файлов) с помощью интерпретатора Ghostscript Postscript, что в обычных условиях блокируется песочницей. При этом отмечается, что уязвимость можно использовать как в процессорах изображений, так и в текстовых процессорах.
«Эта уязвимость серьезно влияет на веб-приложения и другие сервисы, предлагающие функции конвертации и предварительного просмотра документов, поскольку они часто используют Ghostscript под капотом», — предупреждают в Codean Labs.
Исследователи поделились Postscript-файлом, который может помочь защитникам определить, уязвимы ли их системы перед CVE-2023-36664. Запустить его можно следующим образом: ghostscript -q -dNODISPLAY -dBATCH CVE-2024-29510_testkit.ps
Проблема CVE-2024-29510 была устранена разработчиками еще в мае текущего года, а специалисты Codean Labs опубликовали свой отчет с техническими подробностями и PoC-эксплоитом лишь два месяца спустя. Однако это не помешало злоумышленникам оперативно взять свежий баг на вооружение.
Как предупреждает разработчик ReadMe Билл Милл (Bill Mill), хакеры уже эксплуатируют CVE-2024-29510 в реальных атаках. Злоумышленники используют файлы EPS (PostScript), замаскированные под файлы JPG, чтобы получить доступ к уязвимым системам.
Поэтому всем, кто так или иначе использует Ghostscript, рекомендуется как можно скорее обновить его до исправленной версии 10.03.1.
Милл отмечает, что даже если дистрибутив не содержит последней версии Ghostscript, возможно, существует отдельный патч, содержащий исправление этой проблемы (например, в Debian, Ubuntu и Fedora).