Artifex · Ghostscript
CVE-2017-8291
Artifex Ghostscript Type Confusion Vulnerability
Что это
Artifex Ghostscript through 2017-04-26 allows -dSAFER bypass and remote command execution via .rsdparams type confusion with a "/OutputFile (%pipe%" substring in a crafted .eps document that is an input to the gs program, as exploited in the wild in April 2017.
CISA: Artifex Ghostscript allows -dSAFER bypass and remote command execution via .rsdparams type confusion with a "/OutputFile.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 14 июня 2022 г.
- Добавлена в список CISA
- 24 мая 2022 г.
- Опубликована
- 27 апреля 2017 г.
- Серьёзность
- Высокий 7,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 97% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-704
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (10)
- http://www.debian.org/security/2017/dsa-3838
- https://access.redhat.com/errata/RHSA-2017:1230
- https://security.gentoo.org/glsa/201708-06
- https://bugzilla.suse.com/show_bug.cgi?id=1036453
- http://www.securityfocus.com/bid/98476
- https://www.exploit-db.com/exploits/41955/
- http://openwall.com/lists/oss-security/2017/04/28/2
- https://bugzilla.redhat.com/show_bug.cgi?id=1446063
- https://git.ghostscript.com/?p=ghostpdl.git%3Ba=commit%3Bh=04b37bbce174eed24edec7ad5b920eb93db4d47d
- https://bugs.ghostscript.com/show_bug.cgi?id=697808
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.