БДУ - Print

BDU:2019-03226: Уязвимость процедуры .setuserparams2 программы конвертирования файлов формата PostScript Ghostscript, позволяющая нарушителю выполнить произвольные команды или получить доступ к файловой системе

Описание уязвимости	Уязвимость процедуры .setuserparams2 программы конвертирования файлов формата PostScript Ghostscript связана с неправильным использованием привилегированных API. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды или получить доступ к файловой системе в обход ограничений, наложенных –dSAFER, с помощью специально созданного файла PostScript
Вендор	Red Hat Inc., Canonical Ltd., Сообщество свободного программного обеспечения, Artifex Software Inc., АО «Концерн ВНИИНС»
Наименование ПО	Red Hat Enterprise Linux, Ubuntu, Debian GNU/Linux, Ghostscript, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО	5 (Red Hat Enterprise Linux), 6 (Red Hat Enterprise Linux), 7 (Red Hat Enterprise Linux), 16.04 LTS (Ubuntu), 18.04 LTS (Ubuntu), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 19.04 (Ubuntu), 8 (Red Hat Enterprise Linux), 10.0 (Debian GNU/Linux), до 9.28 (Ghostscript), 1.0 (ОС ОН «Стрелец»)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Red Hat Inc. Red Hat Enterprise Linux 5 Не указана Red Hat Inc. Red Hat Enterprise Linux 6 Не указана Red Hat Inc. Red Hat Enterprise Linux 7 Не указана Canonical Ltd. Ubuntu 16.04 LTS Не указана Canonical Ltd. Ubuntu 18.04 LTS Не указана Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Не указана Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Не указана Canonical Ltd. Ubuntu 19.04 Не указана Red Hat Inc. Red Hat Enterprise Linux 8 Не указана Сообщество свободного программного обеспечения Debian GNU/Linux 10.0 Не указана АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 Не указана (запись в едином реестре российских программ №6177)
Тип ошибки	Неправильное использование привилегированных API
Идентификатор типа ошибки	CWE-648
Класс уязвимости	Уязвимость кода
Дата выявления	20.08.2019
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:P/A:P CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для Ghostscript: http://git.ghostscript.com/?p=ghostpdl.git;a=commitdiff;h=885444fcbe10dc42787ecb76686c8ee4dd33bf33 Для Ubuntu: https://usn.ubuntu.com/4111-1/ Для Debian GNU/Linux: https://www.debian.org/security/2019/dsa-4518.ru.html Для программных продуктов Red Hat Inc.: https://bugzilla.redhat.com/show_bug.cgi?id=1743754 Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Злоупотребление функционалом
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://usn.ubuntu.com/4111-1/ https://security-tracker.debian.org/tracker/CVE-2019-14812 https://access.redhat.com/security/cve/cve-2019-14812 https://bugzilla.redhat.com/show_bug.cgi?id=1743754 https://www.debian.org/security/2019/dsa-4518.ru.html https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2019-14812
Прочая информация	-