Ghostscript号令执行缝隙安全公告
颁布功夫 2018-08-23缝隙编号和级别
CVE编号：无，，危险级别：高危，，CVSS分值：官方未评定
影响版本
version<= 9.23（全版本、全平台）官方未出缓解措施，，最新版本受到影响。。
缝隙导致所有引用Ghostscript的上游利用受到到影响。。目前Artifex Software，，ImageMagick，，Redhat，，Ubuntu已经注明会受到此缝隙影响，，CoreOS颁发不受影响，，其他平台临时未对此缝隙进行注明。。
缝隙概述
近日，，Google ProjectZero安全钻研员发现极度盛行的文档处置工具Ghostscript存在安全沙箱被绕过的缝隙。。攻击者可能通过ImageMagick、Evince、GIMP、PDF阅读器等利用来利用此缝隙，，提反目意机关的图片文件，，在有关的服务器上执行肆意号令。。
GhostScript被很多图片处置库所使用，，如ImageMagick、PythonPIL等，，默认情况下这些库会凭据图片的内容将其分发给分歧的处置步骤，，其中就蕴含GhostScript。。
修复建议
目前官方尚未颁布补丁�。�，能够使用以下一时解决规划：
1. 卸载 GhostScript：
sudo apt-get removeghostscript（以Ubuntu 系统为例）
2. 在ImageMagick policy.xml中禁用PostScript、EPS、PDF以及XPS解码器，，如下图所示：
参考链接
http://seclists.org/oss-sec/2018/q3/142
https://bugs.chromium.org/p/project-zero/issues/detail?id=1640https://www.kb.cert.org/vuls/id/332928
京公网安备11010802024551号