2024/11/11 SecurityOnline — 広範に利用される PostScript／PDF ファイルのインタープリター Ghostscript に存在する、６件の脆弱性に対応する重大なセキュリティ・アップデートがリリースされたが、その中には、リモート・コード実行の可能性に至るものも含まれるという。それらの、一連のセキュリティ脆弱性は、Ghostscript の最新リリースであるバージョン 10.04.0 で修正されている。
これらの脆弱性は、各種のファイル形式やデータ構造を Ghostscript が処理する際に生じる、さまざまなコーディング・エラーに起因する。これらの脆弱性を悪用する攻撃者は、特別に設計した PostScript／PDF ファイルを作成し、Ghostscript で処理される際に問題を発生させ、コード実行や情報漏えいを達成する可能性を得る。
修正された脆弱性の詳細は下記の通りだ：
- CVE-2024-46951／CVE-2024-46952／CVE-2024-46953／CVE-2024-46956
不十分なポインタ・チェック／バッファ・オーバーフロー／境界外データ・アクセスなどに関連する、一連の脆弱性を悪用する攻撃者は、任意のコードを実行する可能性を手にする。これらの脆弱性は、PostScript インタープリタや PDF 処理モジュールなどを取り込んだ、Ghostscript の各種コンポーネントに存在する。 - CVE-2024-46954
この脆弱性は、長すぎる UTF-8 エンコーディングに関係しており、ディレクトリ・トラバーサルを達成するために悪用される可能性がある。その結果として、攻撃者に対して機密ファイルへのアクセス権限を与える可能性が生じる。 - CVE-2024-46955
この脆弱性の深刻度は低いが、境界外の読み取りを誘発し、機密情報の漏えいにいたる可能性がある。
Ghostscript は、多種多様なアプリケーションにおいて、PDF／PostScript ファイルを処理する重要なツールである。したがって、これらの脆弱性が浮き彫りにするのは、外部から受信したファイルや、ユーザーが送信したファイルを処理する環境における、安全な文書処理の必要性である。
つまり、Ghostscript は、文書処理の脆弱性を悪用してシステムに侵入しようとする攻撃者にとって、魅力的な標的となっている。そこで想定されるリスクのある脆弱性としては、任意のコード実行／パス辿り／バッファ・オーバーフローばどが挙げられる。
Ghostscript のユーザーに対して強く推奨されるのは、バージョン 10.04.0 以降へと直ちに更新し、悪用のリスクを軽減することである。
文中でも指摘されていますが、PDF／Postscript 出力で多用される Ghostscript のなので、その影響の範囲が懸念されます。なお、前回の関連記事は、2024/07/08 の「Ghostscript の脆弱性 CVE-2024-29510 の悪用が観測された：直ちにアップデートを！」となっています。よろしければ、Ghostscript で検索と併せて、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.