Ghostscript PostScript文件本地可执行任意命令漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1204277 漏洞类型 设计错误
发布时间 2002-05-29 更新时间 2005-08-17
CVE编号 CVE-2002-0363 CNNVD-ID CNNVD-200205-072
漏洞平台 N/A CVSS评分 7.5
|漏洞来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200205-072
|漏洞详情
ArtifexSoftwareGhostscript是美国ArtifexSoftware公司的一款开源的PostScript(一种用于电子产业和桌面出版领域的页面描述语言和编程语言)解析器,它可显示Postscript文件以及在非Postscript打印机上打印Postscript文件。Ghostscript对用户提交的文件内容缺少正确的检查,可导致本地攻击者当文件被打印时执行任意命令。恶意格式的PostScript文件当被Ghostscript用于打印时,可导致执行任意命令,通过在文件中使用.locksafe或者.setsafe功能可以重设当前页面设备,导致攻击者可以在页面打印时以lp用户的权限在系统上执行任意命令。
|参考资料

来源:www.ghostscript.com
链接:http://www.ghostscript.com/pipermail/gs-code-review/2002-January/001801.html
来源:www.ghostscript.com
链接:http://www.ghostscript.com/pipermail/gs-code-review/2002-February/001900.html
来源:BID
名称:4937
链接:http://www.securityfocus.com/bid/4937
来源:REDHAT
名称:RHSA-2003:209
链接:http://www.redhat.com/support/errata/RHSA-2003-209.html
来源:REDHAT
名称:RHSA-2002:123
链接:http://www.redhat.com/support/errata/RHSA-2002-123.html
来源:REDHAT
名称:RHSA-2002:083
链接:http://www.redhat.com/support/errata/RHSA-2002-083.html
来源:XF
名称:ghostscript-postscript-command-execution(9254)
链接:http://www.iss.net/security_center/static/9254.php
来源:CALDERA
名称:CSSA-2002-026.0
链接:ftp://ftp.caldera.com/pub/security/OpenLinux/CSSA-2002-026.0.txt