Ghostscript遠程命令執(zhí)行漏洞預警

2018-08-22

一、概要

近期，某安全研究人員公布了最新發(fā)現(xiàn)的GhostScript遠程命令執(zhí)行漏洞的細節(jié)信息，漏洞影響使用了GhostScript的通用圖片處理庫，如 ImageMagick等。攻擊者可利用該漏洞進行遠程命令執(zhí)行攻擊，入侵服務器。

參考鏈接：

http://openwall.com/lists/oss-security/2018/08/21/2

二、漏洞級別

漏洞級別：【嚴重】

（說明：漏洞級別共四級：一般、重要、嚴重、緊急。）

三、影響范圍

Ghostscript是Adobe PostScript和PDF的解釋語言，目前廣泛應用在各類應用程序中（例如ImageMagick、Evince、GIMP、PDF閱讀器等）。該漏洞影響使用了GhostScript的通用圖片處理庫，如 ImageMagick等。經(jīng)確認該漏洞暫不影響華為云平臺側相關版本。

四、安全建議

目前官方并未發(fā)布最新更新補丁，漏洞研究人員發(fā)布了臨時加固措施，請用戶根據(jù)自身業(yè)務情況評估后決定是否采用臨時加固措施。華為云將持續(xù)關注并刷新補丁信息。

 

臨時解決方案如下：

在ImageMagick policy.xml中禁用PostScript、EPS、PDF以及XPS解碼器。

<policy domain =“coder”rights =“none”pattern =“PS”/>

<policy domain =“coder”rights =“none”pattern =“EPS”/>

<policy domain =“coder”rights =“none” pattern =“PDF”/>

<policy domain =“coder”rights =“none”pattern =“XPS”/>

注意：修復漏洞前請將資料備份，并進行充分測試。