Ghostscript下令执行误差清静通告
宣布时间 2018-08-23误差编号和级别
CVE编号：无，危险级别：高危，CVSS分值：官方未评定
影响版本
version<= 9.23（全版本、全平台）官方未出缓解步伐，最新版本受到影响 。
误差导致所有引用Ghostscript的上游应用受到到影响 。现在Artifex Software，ImageMagick，Redhat，Ubuntu已经说明会受到此误差影响，CoreOS宣布不受影响，其他平台暂时未对此误差举行说明 。
误差概述
克日，Google ProjectZero清静研究员发明很是盛行的文档处置惩罚工具Ghostscript保存清静沙箱被绕过的误差 。攻击者可能通过ImageMagick、Evince、GIMP、PDF阅读器等应用来使用此误差，提交恶意结构的图片文件，在相关的服务器上执行恣意下令 。
GhostScript被许多图片处置惩罚库所使用，如ImageMagick、PythonPIL等，默认情形下这些库会凭证图片的内容将其分发给差别的处置惩罚要领，其中就包括GhostScript 。
修复建议
现在官方尚未宣布补丁，可以使用以下暂时解决计划：
1. 卸载 GhostScript：
sudo apt-get removeghostscript（以Ubuntu 系统为例）
2. 在ImageMagick policy.xml中禁用PostScript、EPS、PDF以及XPS解码器，如下图所示：
参考链接
http://seclists.org/oss-sec/2018/q3/142
https://bugs.chromium.org/p/project-zero/issues/detail?id=1640https://www.kb.cert.org/vuls/id/332928
京公网安备11010802024551号