forum.opennet.ru - "В Ghostscript 9.26 устранена очередная порция уязвимостей " (16)

"В Ghostscript 9.26 устранена очередная порция уязвимостей "

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
Сообщение от opennews (ok), 22-Ноя-18, 09:25
Представлен (https://www.ghostscript.com/doc/9.26/News.htm) релиз набора инструментов для обработки, преобразования и генерации документов в форматах PostScript и PDF - Ghostscript 9.26 (https://www.ghostscript.com/), в котором устранено несколько уязвимостей, которые позволяют организовать выполнение в системе произвольного кода при обработке в Ghostscript специально оформленных документов. - CVE-2018-17961 (https://security-tracker.debian.org/tracker/CVE-2018-17961) - уязвимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=16...) вызвана неполным устранением ранее найденной уязвимости CVE-2018-17183 и позволяет через создание обработчика исключения организовать выполнение кода вне sandbox-окружения. - CVE-2018-18073 (https://security-tracker.debian.org/tracker/CVE-2018-18073) - уязвимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=1690) позволяет организовать выполнение оператора ".forceput" через манипуляции с переданным в обработчик исключения доступом к исполняемому стеку. - CVE-2018-18284 (https://security-tracker.debian.org/tracker/CVE-2018-18284) - узявимость (https://bugs.chromium.org/p/project-zero/issues/detail?id=1696) позволяет обойти механизм sandbox-изоляции через манипуляцию с векторами с использованием оператора 1Policy; - Уязвимость (https://security-tracker.debian.org/tracker/TEMP-0291452-29156B), связанная с небезопасным созданием временных файлов в каталоге /tmp (CVE пока не присвоен). Напомним, что уязвимости в Ghostscript представляют повышенную опасность, так как данный пакет используется во многих популярных приложениях для обработки форматов PostScript и PDF. Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus. Уязвимости в Ghostscript также можно эксплуатировать через обработчики изображений на базе пакетов ImageMagick и GraphicsMagick, передав в них JPEG или PNG-файл, в котором вместо картинки находится код PostScript (такой файл будет обработан в Ghostscript, так как MIME-тип распознаётся по содержимому, а не полагаясь на расширение). URL: https://www.ghostscript.com/doc/9.26/News.htm Новость: https://www.opennet.ru/opennews/art.shtml?num=49647
Ответить \| Правка \| Cообщить модератору

Оглавление

В Ghostscript 9.26 устранена очередная порция уязвимостей , timur.davletshin (ok), 09:25 , 22-Ноя-18, (1) +1

В Ghostscript 9.26 устранена очередная порция уязвимостей , Аноним (17), 14:53 , 23-Ноя-18, (17)

В Ghostscript 9.26 устранена очередная порция уязвимостей , Аноним (5), 10:39 , 22-Ноя-18, (5)

В Ghostscript 9.26 устранена очередная порция уязвимостей , Аноним (8), 12:26 , 22-Ноя-18, (8) +5
В Ghostscript 9.26 устранена очередная порция уязвимостей , Stax (ok), 15:21 , 22-Ноя-18, (9) –1

В Ghostscript 9.26 устранена очередная порция уязвимостей , llolik (ok), 15:52 , 22-Ноя-18, (10)

В Ghostscript 9.26 устранена очередная порция уязвимостей , пох (?), 15:53 , 22-Ноя-18, (12)

В Ghostscript 9.26 устранена очередная порция уязвимостей , llolik (ok), 16:48 , 22-Ноя-18, (14)

В Ghostscript 9.26 устранена очередная порция уязвимостей , пох (?), 15:52 , 22-Ноя-18, (11)

В Ghostscript 9.26 устранена очередная порция уязвимостей , llolik (ok), 16:39 , 22-Ноя-18, (13)

В Ghostscript 9.26 устранена очередная порция уязвимостей , Аноним (6), 11:58 , 22-Ноя-18, (6) –2

В Ghostscript 9.26 устранена очередная порция уязвимостей , нах (?), 12:17 , 22-Ноя-18, (7) +1

В Ghostscript 9.26 устранена очередная порция уязвимостей , Онаним (?), 20:20 , 22-Ноя-18, (15) +2

В Ghostscript 9.26 устранена очередная порция уязвимостей , Ordu (ok), 14:48 , 23-Ноя-18, (16)

В Ghostscript 9.26 устранена очередная порция уязвимостей , Онаним (?), 07:44 , 24-Ноя-18, (19)

В Ghostscript 9.26 устранена очередная порция уязвимостей , Аноним (17), 15:10 , 23-Ноя-18, (18)

Сообщения по теме [Сортировка по ответам | RSS]

1. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +1 +/–

Сообщение от timur.davletshin (ok), 22-Ноя-18, 09:25

Да сам удивился, когда в Debian/stable начали новые версии выкладывать... Пару недель 9.25 прилетело, вон теперь этого бум ждать )))

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от Аноним (5), 22-Ноя-18, 10:39

Давно удалил, потому что шерето. Привязка бинарного софта к нему несколько огорчает -- приходится от того отказываться.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "В Ghostscript 9.26 устранена очередная порция уязвимостей " –2 +/–

Сообщение от Аноним (6), 22-Ноя-18, 11:58

Нужно просто волевым решением убрать это из всех ведущих дистров. Отказаться, как от IE 6 в свое время.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +1 +/–

Сообщение от нах (?), 22-Ноя-18, 12:17

если б вы волевым усилием в свое время отказались от интернета вместе с ie6 - непременно пришли бы к успеху.
А поддержка ps и pdf - это уже мелко, это каждый может.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +5 +/–

Сообщение от Аноним (8), 22-Ноя-18, 12:26

Откажись от компьютера вообще, ибо он есть совокупность шерет, крадущая время твоё и краснеющая глаза твои. Будь как Столлман, и не пользуйся мобилой - ибо и оно есть шерето. И главное не делай ничего, ибо деяние твоё есть шерето, шеретом порождённое и шерето порождающее.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "В Ghostscript 9.26 устранена очередная порция уязвимостей " –1 +/–

Сообщение от Stax (ok), 22-Ноя-18, 15:21

А был же раньше коммерческий вариант, который Aladdin Ghostscript. Там, наверное, таких косяков не допускают. Может им заменить?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

10. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от llolik (ok), 22-Ноя-18, 15:52

Так он никуда не девался. У Artifex можно и коммерческий вариант взять.
https://www.ghostscript.com/license.html (внизу страницы).

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от пох (?), 22-Ноя-18, 15:52

они оба - aladdin ghostscript. Коммерческая версия отличалась наличием закрытых принтерных драйверов, под какие-то давным-давно рассыпавшиеся из-за отсутствия запчастей древние не-ps-не-hp-принтеры, и когда у последнего полетел ролик - исходники оставшегося кода смержили в общую кучу - уже сильно поболее десятка лет назад, а контора обанкротилась.
Остатки купила та странная лавочка, которой посейчас и принадлежит ghostscript.com, но, по-моему, ничем кроме бесконечного меняния лицензии она не отличилась, полагаю, разработчиков там и не держали никогда - наоборот, их бизнес-идеей является предоставление тебе за денежки права НЕ открывать исходники _твоих_ изменений - если они у тебя есть ;-) А для этого нужны не кодеры, а адвокаты.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от пох (?), 22-Ноя-18, 15:53

обмани кондуктора - купи билет и сиди дома.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от llolik (ok), 22-Ноя-18, 16:39

> полагаю, разработчиков там и не держали никогда
Ну разработчики там, вроде есть, mupdf (https://www.mupdf.com/) довольно бодренько пилят (git http://git.ghostscript.com/?p=mupdf.git;a=shortlog). Довольно прикольная либа ИМХО.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

14. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от llolik (ok), 22-Ноя-18, 16:48

> обмани кондуктора - купи билет и сиди дома.
Не, ну если человеку хочется :)

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +2 +/–

Сообщение от Онаним (?), 22-Ноя-18, 20:20

> Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus.
Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере, возможность размещать что бы то ни было кроме окон на рабочем столе и индексацию данных ибо не нужно и только лишняя нагрузка на комп. Похоже не зря.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от Ordu (ok), 23-Ноя-18, 14:48

> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере
Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры? Или только показ их отключался?

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

17. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от Аноним (17), 23-Ноя-18, 14:53

О, и я обратил на это внимание.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

18. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от Аноним (17), 23-Ноя-18, 15:10

Всегда создаю путой файл с аттрибутом "только чтение":
$ rm -rf ~/.config/thumbnails && touch ~/.config/thumbnails && chmod 400 ~/.config/thumbnails

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

19. "В Ghostscript 9.26 устранена очередная порция уязвимостей " +/–

Сообщение от Онаним (?), 24-Ноя-18, 07:44

>> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере
> Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры?
> Или только показ их отключался?
Приводило - прекращал. Хотя конечно не исключено, что могут быть файловые менеджеры, которые не прекращают.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	1. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+1 +/–
	Сообщение от timur.davletshin (ok), 22-Ноя-18, 09:25
	Да сам удивился, когда в Debian/stable начали новые версии выкладывать... Пару недель 9.25 прилетело, вон теперь этого бум ждать )))
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	5. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Аноним (5), 22-Ноя-18, 10:39
	Давно удалил, потому что шерето. Привязка бинарного софта к нему несколько огорчает -- приходится от того отказываться.
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	6. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	–2 +/–
	Сообщение от Аноним (6), 22-Ноя-18, 11:58
	Нужно просто волевым решением убрать это из всех ведущих дистров. Отказаться, как от IE 6 в свое время.
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	7. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+1 +/–
	Сообщение от нах (?), 22-Ноя-18, 12:17
	если б вы волевым усилием в свое время отказались от интернета вместе с ie6 - непременно пришли бы к успеху. А поддержка ps и pdf - это уже мелко, это каждый может.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	8. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+5 +/–
	Сообщение от Аноним (8), 22-Ноя-18, 12:26
	Откажись от компьютера вообще, ибо он есть совокупность шерет, крадущая время твоё и краснеющая глаза твои. Будь как Столлман, и не пользуйся мобилой - ибо и оно есть шерето. И главное не делай ничего, ибо деяние твоё есть шерето, шеретом порождённое и шерето порождающее.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	9. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	–1 +/–
	Сообщение от Stax (ok), 22-Ноя-18, 15:21
	А был же раньше коммерческий вариант, который Aladdin Ghostscript. Там, наверное, таких косяков не допускают. Может им заменить?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	10. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 15:52
	Так он никуда не девался. У Artifex можно и коммерческий вариант взять. https://www.ghostscript.com/license.html (внизу страницы).
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	11. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от пох (?), 22-Ноя-18, 15:52
	они оба - aladdin ghostscript. Коммерческая версия отличалась наличием закрытых принтерных драйверов, под какие-то давным-давно рассыпавшиеся из-за отсутствия запчастей древние не-ps-не-hp-принтеры, и когда у последнего полетел ролик - исходники оставшегося кода смержили в общую кучу - уже сильно поболее десятка лет назад, а контора обанкротилась. Остатки купила та странная лавочка, которой посейчас и принадлежит ghostscript.com, но, по-моему, ничем кроме бесконечного меняния лицензии она не отличилась, полагаю, разработчиков там и не держали никогда - наоборот, их бизнес-идеей является предоставление тебе за денежки права НЕ открывать исходники _твоих_ изменений - если они у тебя есть ;-) А для этого нужны не кодеры, а адвокаты.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	12. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от пох (?), 22-Ноя-18, 15:53
	обмани кондуктора - купи билет и сиди дома.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 16:39
	> полагаю, разработчиков там и не держали никогда Ну разработчики там, вроде есть, mupdf (https://www.mupdf.com/) довольно бодренько пилят (git http://git.ghostscript.com/?p=mupdf.git;a=shortlog). Довольно прикольная либа ИМХО.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	14. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от llolik (ok), 22-Ноя-18, 16:48
	> обмани кондуктора - купи билет и сиди дома. Не, ну если человеку хочется :)
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	15. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+2 +/–
	Сообщение от Онаним (?), 22-Ноя-18, 20:20
	> Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus. Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере, возможность размещать что бы то ни было кроме окон на рабочем столе и индексацию данных ибо не нужно и только лишняя нагрузка на комп. Похоже не зря.
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	16. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Ordu (ok), 23-Ноя-18, 14:48
	> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры? Или только показ их отключался?
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	17. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Аноним (17), 23-Ноя-18, 14:53
	О, и я обратил на это внимание.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	18. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Аноним (17), 23-Ноя-18, 15:10
	Всегда создаю путой файл с аттрибутом "только чтение": $ rm -rf ~/.config/thumbnails && touch ~/.config/thumbnails && chmod 400 ~/.config/thumbnails
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	19. "В Ghostscript 9.26 устранена очередная порция уязвимостей "	+/–
	Сообщение от Онаним (?), 24-Ноя-18, 07:44
	>> Всегда после установки любой ОС первым делом отключал показ миниатюр в файловом менеджере > Приводило ли это к тому, что файловый менеджер прекращал создавать эти миниатюры? > Или только показ их отключался? Приводило - прекращал. Хотя конечно не исключено, что могут быть файловые менеджеры, которые не прекращают.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору