Ghostscript命令执行漏洞安全通告
发布时间 2018-08-23漏洞编号和级别
CVE编号：无，危险级别：高危，CVSS分值：官方未评定
影响版本
version<= 9.23（全版本、全平台）官方未出缓解措施，最新版本受到影响。
漏洞导致所有引用Ghostscript的上游应用受到到影响。目前Artifex Software，ImageMagick，Redhat，Ubuntu已经说明会受到此漏洞影响，CoreOS宣布不受影响，其他平台暂时未对此漏洞进行说明。
漏洞概述
近日，Google ProjectZero安全研究员发现非常流行的文档处理工具Ghostscript存在安全沙箱被绕过的漏洞。攻击者可能通过ImageMagick、Evince、GIMP、PDF阅读器等应用来利用此漏洞，提交恶意构造的图片文件，在相关的服务器上执行任意命令。
GhostScript被许多图片处理库所使用，如ImageMagick、PythonPIL等，默认情况下这些库会根据图片的内容将其分发给不同的处理方法，其中就包括GhostScript。
修复建议
目前官方尚未发布补丁，可以使用以下临时解决方案：
1. 卸载 GhostScript：
sudo apt-get removeghostscript（以Ubuntu 系统为例）
2. 在ImageMagick policy.xml中禁用PostScript、EPS、PDF以及XPS解码器，如下图所示：
参考链接
http://seclists.org/oss-sec/2018/q3/142
https://bugs.chromium.org/p/project-zero/issues/detail?id=1640https://www.kb.cert.org/vuls/id/332928
京公网安备11010802024551号