「Ghostscript」旧版に「クリティカル」とされる脆弱性

Artifex Softwareが提供する「Ghostscript」の旧版に脆弱性が明らかとなった。「クリティカル（Critical）」とレーティングされている。

同ソフトウェアは、「PostScript」や「PDF」を処理するインタプリタ。WindowsやmacOS、Linuxなどさまざまなプラットフォームで利用されている。

「PDFドキュメント」において、本来単一の文字コードが複数の「Unicodeコードポイント」に配置され、域外メモリへ書き込みしたり、解放後のメモリを使用する「Use After Free」の脆弱性「CVE-2020-36773」が明らかとなったもの。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

同脆弱性は、2024年2月4日に採番されたが、2020年9月にリリースされた「Ghostscript 9.53.0」「GhostPDL 9.53.0」にて修正済みだという。2024年2月18日の時点で2023年11月にリリースされた「同10.02.1」が最新版として提供されている。

（Security NEXT - 2024/02/19 ）ツイート