「Ghostscript」に保護機能回避の脆弱性が再び - 「ImageMagick」などにも影響
「PostScript」や「PDF」の出力に利用されるオープンソースのArtifex Software製インタープリタ「Ghostscript」に複数の脆弱性が判明した。
同ソフトウェアにおいて、「-dSAFERオプション」による保護が回避される脆弱性が存在し、悪用されると任意のコードを実行される可能性があるという。
「同9.23」および以前のバージョンが影響を受けるほか、同ソフトを利用するアプリケーションでも影響を受けるおそれがある。
8月22日の時点でアップデートは提供されていない。同ソフトを利用する「ImageMagick」に関しては、一部ファイル形式の処理を無効化するといった緩和策が案内されている。
同ソフトウェアでは、2017年4月にも細工したESPファイルで「-dSAFERオプション」が回避される脆弱性「CVE-2017-8291」が2017年4月に判明。ゼロデイ攻撃に悪用されている。

影響を受けるベンダー(表:CERT/CC)
(Security NEXT - 2018/08/22 )
ツイート
関連リンク
PR
関連記事
「PostgreSQL」にセキュリティアップデート - 「13系」は11月にEOL
「Microsoft Edge」にアップデート - 脆弱性5件を解消
「Trend Micro Apex One」ゼロデイ脆弱性の修正パッチが公開
CMS「Drupal」の二要素認証モジュールに認証回避のおそれ
「Cisco FMC」に深刻な脆弱性 - 認証なしでコマンド実行のおそれ
Cisco、ファイアウォール製品群にアドバイザリ21件を公開
「Apache Tomcat」にアップデート - 脆弱性「MadeYouReset」を解消
「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に