BDU:2018-01086 (CVE-2018-15909) — уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript
По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.
Критический — 10.0/10 Устранена
Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с выходом операции за границы буфера в памяти при преобразовании типов данных в операторе.shfill. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированного PostScript-файла
Кого касается и что делать
- Уязвимое ПО: Ghostscript (Artifex Software) — версии 5.56, 6.01, 6.50, 7.0, 7.03, 7.04, 8.0, от 8.10 до 8.12 включительно, от 8.30 до 8.33 включительно, от 8.50 до 8.54 включительно, 8.56, 8.57, от 8.60 до 8.64 включительно, 8.70, 8.71 и др.
- Что делать: уязвимость устранена производителем — применить исправления: ghostscript.com
Сведения об уязвимости
| Идентификаторы | BDU:2018-01086 · CVE-2018-15909 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 10.0; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании |
| Даты | Опубликована: 14.09.2018 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 21.02.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-119 — выход операции за границы буфера в памяти; CWE-843 — доступ к ресурсу через несовместимые типы |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Ghostscript (Artifex Software) — версии 5.56, 6.01, 6.50, 7.0, 7.03, 7.04, 8.0, от 8.10 до 8.12 включительно, от 8.30 до 8.33 включительно, от 8.50 до 8.54 включительно, 8.56, 8.57, от 8.60 до 8.64 включительно, 8.70, 8.71 и др. · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Обновление программного обеспечения до 9.24 или более поздней версии
- ghostscript.com/doc/9.24/History9.htm
