Уязвимость BDU:2023-03466
Идентификатор: BDU:2023-03466.
Наименование уязвимости: Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнить произвольный код.
Описание уязвимости: Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем использования префикса %pipe% или специального символа |
Уязвимое ПО: Прикладное ПО информационных систем Artifex Software Inc. Ghostscript до 10.01.2 | Операционная система АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4 | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.8 | Операционная система АО «ИВК» АЛЬТ СП 10 — |
Наименование ОС и тип аппаратной платформы: РОСА ХРОМ 124 | ОСОН ОСнова Оnyx до 28 | АЛЬТ СП 10 — |
Дата выявления: 25.06.2023.
CVSS 2.0: AV:L/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,4)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование антивирусного программного обеспечения для обнаружения средств эксплуатации уязвимостей.
Использование рекомендаций производителя:
https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=0974e4f2ac0005d3731e0b5c13ebc7e965540f4d
https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=505eab7782b429017eb434b2b95120855f2b0e3c
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения ghostscript до версии 9.53.3~dfsg-7+deb11u5
Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2318
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2023-36664.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=0974e4f2ac0005d3731e0b5c13ebc7e965540f4d
https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=505eab7782b429017eb434b2b95120855f2b0e3c
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.8/
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2318
https://www.vicarius.io/vsociety/posts/cve-2023-36664-command-injection-with-ghostscript-poc-exploit
https://altsp.su/obnovleniya-bezopasnosti/
