Ghostscript được cài đặt sẵn trên nhiều bản phân phối Linux và được sử dụng bởi nhiều phần mềm chuyển đổi tài liệu, bao gồm ImageMagick, LibreOffice, GIMP, Inkscape, Scribus và hệ thống in CUPS.
Được xác định là CVE-2024-29510, lỗ hổng này ảnh hưởng đến tất cả các phiên bản Ghostscript trước 10.03.0. Nó cho phép kẻ tấn công bỏ qua cơ chế bảo vệ sandbox-dSAFER (được bật theo mặc định).
Hình minh họa
Lỗ hổng này đặc biệt nguy hiểm vì nó cho phép kẻ tấn công thực hiện các hoạt động có rủi ro cao, chẳng hạn như thực thi lệnh và thao tác tệp, bằng cách lạm dụng trình thông dịch Postscript của Ghostscript, mà sandbox thường chặn.
“Lỗ hổng bảo mật này có tác động đáng kể đến các ứng dụng web và các dịch vụ khác cung cấp chức năng xem trước và chuyển đổi tài liệu vì chúng thường sử dụng Ghostscript”, các nhà nghiên cứu bảo mật tại Codean Labs, những người đã phát hiện và báo cáo lỗ hổng bảo mật, cảnh báo.
“Chúng tôi khuyên bạn nên xác minh rằng giải pháp của bạn là [gián tiếp] sử dụng Ghostscript và nếu có, hãy cập nhật lên phiên bản mới nhất.” Codean Labs cũng đã chia sẻ tệp Postscript này để giúp bạn phát hiện xem hệ thống của bạn có dễ bị tấn công bởi CVE-2023-36664 hay không bằng cách chạy tệp này với lệnh sau:
ghostscript -q -dNODISPLAY -dBATCH CVE-2024-29510_testkit.ps
Các lỗ hổng đang bị khai thác trong các cuộc tấn công
Trong khi nhóm phát triển Ghostscript đã vá lỗ hổng bảo mật vào tháng 5, Codean Labs đã phát hành bài đăng chia sẻ thông tin chi tiết kỹ thuật và mã khai thác bằng chứng khái niệm (PoC) cho lỗ hổng bảo mật hai tháng sau đó.
Kẻ tấn công đã khai thác lỗ hổng CVE-2024-29510 của Ghostscript bằng cách sử dụng các tệp EPS (PostScript) ngụy trang thành tệp JPG (hình ảnh) để có quyền truy cập shell vào các hệ thống dễ bị tấn công.
Nhà phát triển Bill Mill cảnh báo: “Nếu bạn sử dụng ghostscript trong hệ thống sản xuất của mình, bạn có thể bị tấn công thực thi lệnh từ xa và bạn nên nâng cấp hoặc xóa nó khỏi hệ thống của mình”.
Codean Labs cho biết thêm: “Cách giảm thiểu tốt nhất đối với lỗ hổng bảo mật này là cập nhật cài đặt Ghostscript của bạn lên v10.03.1. Nếu bản phân phối của bạn không cung cấp phiên bản Ghostscript mới nhất, họ vẫn có thể phát hành bản vá có chứa bản sửa lỗi cho lỗ hổng bảo mật này (ví dụ: Debian, Ubuntu, Fedora)”.
Link nguồn: https://cafef.vn/lo-hong-rce-trong-thu-vien-pho-bien-ghostscript-bi-khai-thac-tan-cong-188240712064108267.chn
