25.06.2023

BDU:2023-03466 (CVE-2023-36664) — уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript

По данным БДУ ФСТЭК России, по состоянию на 03.08.2026.

Высокий — 8.4/10 Публичный эксплойт Есть инциденты ИБ Устранена

Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем использования префикса %pipe% или специального символа |

Кого касается и что делать

Уязвимое ПО: Ghostscript (Artifex Software) — версии до 10.01.2; РОСА ХРОМ (АО «НТЦ ИТ РОСА») — версии 12.4; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.8; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: git.ghostscript.com, git.ghostscript.com, abf.rosalinux.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2023-03466 · CVE-2023-36664
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.4; CVSS 2.0 — 7.2)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 28.06.2023 · Обновлена ФСТЭК: 03.08.2026 · Выявлена: 25.06.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы); CWE-275 — проблемы разрешений
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Ghostscript (Artifex Software) — до 10.01.2 · прикладное ПО информационных систем
РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.8 · операционная система
АЛЬТ СП 10 (АО «ИВК») — операционная система
РЕД ОС (ООО «Ред Софт») — 8.0 · операционная система

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— использование антивирусного программного обеспечения для обнаружения средств эксплуатации уязвимостей.
Использование рекомендаций производителя:
git.ghostscript.com/?p=ghostpdl.git;a=commit;h=0974e4f2ac…
git.ghostscript.com/?p=ghostpdl.git;a=commit;h=505eab7782…

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения ghostscript до версии 9.53.3~dfsg-7+deb11u5
Для операционной системы РОСА ХРОМ: abf.rosalinux.ru/advisories/ROSA-SA-2023-2318
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для Ред ОС: repo.red-soft.ru/redos/8.0/x86_64/updates/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: