Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2019-03226: Уязвимость процедуры .setuserparams2 программы конвертирования файлов формата PostScript Ghostscript, позволяющая нарушителю выполнить произвольные команды или получить доступ к файловой системе

Описание уязвимости	Уязвимость процедуры .setuserparams2 программы конвертирования файлов формата PostScript Ghostscript связана с неправильным использованием привилегированных API. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды или получить доступ к файловой системе в обход ограничений, наложенных –dSAFER, с помощью специально созданного файла PostScript
Вендор	Red Hat Inc., Canonical Ltd., Сообщество свободного программного обеспечения, Artifex Software Inc.
Наименование ПО	Red Hat Enterprise Linux , Ubuntu , Debian GNU/Linux , Ghostscript
Версия ПО	5 (Red Hat Enterprise Linux) 6 (Red Hat Enterprise Linux) 7 (Red Hat Enterprise Linux) 16.04 LTS (Ubuntu) 18.04 LTS (Ubuntu) 8.0 (Debian GNU/Linux) 9.0 (Debian GNU/Linux) 19.04 (Ubuntu) 8 (Red Hat Enterprise Linux) 10.0 (Debian GNU/Linux) до 9.28 (Ghostscript)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Red Hat Inc. Red Hat Enterprise Linux 5 Red Hat Inc. Red Hat Enterprise Linux 6 Red Hat Inc. Red Hat Enterprise Linux 7 Canonical Ltd. Ubuntu 16.04 LTS Canonical Ltd. Ubuntu 18.04 LTS Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Canonical Ltd. Ubuntu 19.04 Red Hat Inc. Red Hat Enterprise Linux 8 Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
Тип ошибки	Неправильное использование привилегированных API
Идентификатор типа ошибки	CWE-648
Класс уязвимости	Уязвимость кода
Дата выявления	20.08.2019
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:P/A:P CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для Ghostscript: http://git.ghostscript.com/?p=ghostpdl.git;a=commitdiff;h=885444fcbe10dc42787ecb76686c8ee4dd33bf33 Для Ubuntu: https://usn.ubuntu.com/4111-1/ Для Debian GNU/Linux: https://www.debian.org/security/2019/dsa-4518.ru.html Для программных продуктов Red Hat Inc.: https://bugzilla.redhat.com/show_bug.cgi?id=1743754
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Злоупотребление функционалом
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://usn.ubuntu.com/4111-1/ https://security-tracker.debian.org/tracker/CVE-2019-14812 https://access.redhat.com/security/cve/cve-2019-14812 https://bugzilla.redhat.com/show_bug.cgi?id=1743754 https://www.debian.org/security/2019/dsa-4518.ru.html
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2019-14812
Прочая информация	-

Последние изменения