فنان
ظهرت ثغرة أمنية في مترجم Ghostscript المستخدم لفك تشفير Adobe Postscript و PDF عبر الإنترنت بعد تقرير من الباحث الأمني في Google ، Tavis Ormandy ، وبيان مزعج من Steve Giguere ، مهندس EMEA لـ Synopsis. نظرًا لأن مترجم اللغة الوصفية لصفحة Ghostcript هو النظام الأكثر استخدامًا في العديد من البرامج وقواعد البيانات ، فإن هذه الثغرة الأمنية لها مجموعة كبيرة من الاستغلال والتأثير إذا تم التلاعب بها.
وفقًا للبيان الصادر عن Giguere ، فإن Ghostscript هو نظام تفسير مبهر على نطاق واسع يستخدم في التطبيقات المحلية بالإضافة إلى الخوادم عبر الإنترنت وعملاء إدارة البيانات لفك تشفير تنسيقات Adobe PostScript و PDF. الحزمان GIMP و ImageMagick على سبيل المثال يلاحظ أنها جزء لا يتجزأ من تطوير الويب خاصة في سياق PDF.
إذا تم استغلال الثغرة الأمنية المرتبطة المكتشفة مع Ghostscript ، فإنها تفسح المجال لانتهاك الخصوصية وخرق خطير للبيانات يمكن من خلاله للمهاجمين الضارين الوصول إلى الملفات الخاصة. يقول جيجير ذلك 'يعتبر استغلال Ghostscript هذا مثالاً ممتازًا على التبعيات المتتالية على حزم البرامج مفتوحة المصدر ، حيث قد لا تتم ترقية تبعية المكون الأساسي بسهولة. حتى عندما يقترن CVE بشيء من هذا القبيل ، ويتوفر إصلاح ، سيكون هناك تأخير ثانوي بينما تقوم الحزم التي تدمج هذا في برامجها الخاصة مثل ImageMagick بإصدار إصدار مع إصلاح '.
وفقًا لـ Giguere ، يتسبب هذا في تأخير من الدرجة الثانية لأن التخفيف من ذلك يعتمد بشكل مباشر على قيام المؤلفين بحل المشكلة في جوهرها بمجرد ظهورها ، أولاً ، ولكن هذا بحد ذاته لا فائدة إذا لم يتم تحميل هذه المكونات التي تم حلها على خوادم الويب والتطبيقات التي تستفيد منها. يجب حل المشكلات في جوهرها ثم تحديثها حيث يتم استخدامها بشكل مباشر من أجل التخفيف الفعال. نظرًا لأن هذه عملية مكونة من خطوتين ، فقد توفر للمهاجمين الضارين كل الوقت الذي يحتاجون إليه لاستغلال هذا النوع من الثغرات الأمنية.
نصائح التخفيف لا تزال قائمة من Giguere لتكون: 'على المدى القصير ، فإن النصيحة لبدء تعطيل برامج تشفير PS و EPS و PDF و XPS افتراضيًا هي الدفاع الوحيد - حتى يتوفر الإصلاح. حتى ذلك الحين ، أغلق أبوابك وربما اقرأ النسخ الورقية! '
