ghostscript沙箱绕过远程命令执行漏洞预警_微软

访客4年前黑客工具1117

 0x00 漏洞背景11 月 21号,Semmle团队的安全研究员Man Yue Mo通过semmle 官网 ,再次指出 ghostscript 的安全沙箱可以被绕过,通过构造恶意的PDF内容,可造成远程命令执行。ghostscript应用广泛,ImageMagick、python-matplotlib、libmagick 等图像处理应用均有引用。 0x01 漏洞影响经过版本核对,360CERT确认9.26 RELEASE对应的commit版本是867deb44ce59102b3c817b8228d9cbfd9d9b1fde故受到影响的版本是version 官方已经针对漏洞进行修复,已有RELEASE版本发布下载地址: RELEASE漏洞导致所有引用ghostscript的上游应用受到影响。 常见应用如下:内置图像处理功能的pdf软件imagemagicklibmagickgraphic *** agickgimppython-matplotlibtexlive-coreatexmacsalatex2htmllatex2rtf 等 0x02 利用效果可以通过查看恶意pdf文件直接触发命令执行查看恶意PDF文件之前查查恶意PDF文件之后 0x03 缓解措施目前官方已发布新版本更新,建议更新ghostscript。至少需要更新到9.26 RELEASE版本由于很多PDF工具内置ghostscript,故360CERT建议用户及时更新相关工具若无法更新可先停止使用本地PDF文件软件直接查看来路不明的PDF文件,可以使用网盘等云PDF预览工具对PDF文件进行查看预览。 0x04 时间线2018-11-12 Man Yue Mo发现漏洞并提交漏洞证明至Artifex2018-11-13 Artifex承认并修复了漏洞2018-11-20 Artifex发布9.26 RELEASE2018-11-21 Semmle团队发布预警2018-11-22 360CERT发布预警

标签: 好话题

相关文章

怎么监控别人手机上的微信聊天记录_mp--免费接单黑客QQ

怎么监控别人手机上的微信聊天记录_mp--免费接单黑客QQ 眼动追踪专家Tobii 本周正在2019年的游戏开发者大会上为VR和AR开发人员进行培训。Tobii推出了针对AR和VR的眼动追踪SDK该...

怎么偷偷接收老公微信(微信同步查看老婆聊天)

怎么偷偷接收老公微信(微信同步查看老婆聊天),我想非常多人都有如许的繁难,当他们的家庭首先有收入,变得比较敷裕时,他们的丈夫老是会花非常多光阴在表面,大概在表面有少许新的干系。固然有人说这是男子的根基...

微信不惊动对方怎么知道对方的位置 通过微信号获取对方位置?_微信不惊动对方怎么知道对方的位置

微信不打扰对方,怎么知道对方的位置呢?有一个康复,分手了很长一段时间的前男友,该如何救前男友呢?恢复这种局面的前男友不应该着急;微信不惊动对方怎么知道对方的位置最好是以朋友的名义在得知信息后相处1.首...

世界上没有绝对安全的手机,保护iPhone安全的七个提示_乐在沟通

众所周知,iPhone以安全而闻名。正是因为它实在是太安全了,所以FBI一直对苹果公司特别关注。不过,不管怎样,iPhone也并不是无懈可击的,世界上没有绝对安全的手机。虽然Apple的硬件变得越来越...

没有密码怎么查询微信聊天记录不会被发现.想查老婆的_1-免费接单

没有密码怎么查询微信聊天记录不会被发现.想查老婆的_1-免费接单 如果一个数字使用超过五年,它会提供特殊的“服务”吗?老顾客说答案!我们都知道,中国移动、中国联通和中国电信是中国唯一三家向我们提供网...

键盘快捷键必学

一、常见用法:  F1           显示当前程序或者windows的帮助内容。F2           当你选中一个文件的话,这意味着“重命名”F3           当你在桌面上的时候是打...