Eine kritische Sicherheitslücke wurde in der Ghostscript-Rendering-Plattform entdeckt, die als CVE-2024-29510 identifiziert wurde. Dieser Format-String-Fehler betrifft Versionen bis 10.03.0 und ermöglicht es Angreifern, die -dSAFER-Sandbox zu umgehen und dadurch Remote-Code auszuführen (RCE).

Diese Sicherheitslücke hat erhebliche Auswirkungen auf Webanwendungen und Dienste, die Ghostscript für Dokumentkonvertierung und Vorschaufunktionen nutzen.

Ghostscript, ein Postscript-Interpreter und Dokumentkonvertierungstoolkit, hat sich von einem UNIX-Werkzeug für Drucker zu einer weit verbreiteten Komponente in automatisierten Systemen entwickelt, wie von Codeanlabs berichtet wird. Viele Webanwendungen, einschließlich Chat-Programmen und Cloud-Speicherdiensten, verlassen sich auf Ghostscript für die Handhabung und Konvertierung von benutzerdefinierten Dateien.

CVE-2024-29510 – Die Schwachstelle

Die Schwachstelle nutzt die Handhabung von Format-Strings durch Ghostscript aus, wodurch ein Angreifer den Speicher manipulieren und beliebigen Code ausführen kann. Die -dSAFER-Sandbox, die entwickelt wurde, um gefährliche Operationen einzuschränken, kann durch diesen Fehler umgangen werden.

Besonders besorgniserregend ist, dass die Schwachstelle durch das Hochladen einer speziell präparierten EPS-Datei oder das Einbetten des Exploits in ein LibreOffice-Dokument ausgelöst werden kann.

Beispiel für Exploit-Code

Hier ist eine vereinfachte Version des Exploit-Codes, die zeigt, wie ein Angreifer beliebige Befehle ausführen kann:

% Subtract a bit from the address to make sure we write a null over the field
/PtrTarget -3 PtrPathControlActive ptr_add_offset def

% And overwrite it!
IdxStackControllable PtrTarget write_to

% And now path_control_active == 0, so we can use %pipe% as if -dSAFER was never set :)
(%pipe%gnome-calculator) (r) file

Dieser Code deaktiviert effektiv die -dSAFER-Sandbox und ermöglicht die Ausführung des Befehls „gnome-calculator“. Der Befehl kann nach Belieben des Angreifers durch andere Befehle ersetzt werden.

Auswirkungen

Die Auswirkungen von CVE-2024-29510 sind weitreichend. Webanwendungen und Dienste, die Ghostscript zur Dokumentverarbeitung nutzen, sind gefährdet. Angreifer können diese Schwachstelle ausnutzen, um beliebigen Code auf dem Server auszuführen, was potenziell zu Datenverletzungen, Systemkompromittierung und weiteren Angriffen führen kann.

Maßnahmen und Empfehlungen

Um diese Schwachstelle zu mindern, ist es entscheidend, Ghostscript auf Version 10.03.1 oder höher zu aktualisieren. Überprüfen Sie auch auf Patch-Versionen, die dieses Problem beheben, falls die neueste Version für Ihre Distribution nicht verfügbar ist.

Zusätzlich wird empfohlen, das bereitgestellte Testkit zu verwenden, um zu überprüfen, ob Ihre Ghostscript-Installation betroffen ist:

ghostscript -q -dNODISPLAY -dBATCH CVE-2024-29510_testkit.ps

Zeitleiste der Ereignisse

  • 2024-03-14: An das Artifex Ghostscript Issue Tracker gemeldet.
  • 2024-03-24: CVE-2024-29510 von Mitre zugewiesen.
  • 2024-03-28: Problem von den Entwicklern bestätigt.
  • 2024-05-02: Ghostscript 10.03.1 veröffentlicht, das das Problem behebt.
  • 2024-07-02: Veröffentlichung der Details zur Schwachstelle.

Die Entdeckung von CVE-2024-29510 unterstreicht die Wichtigkeit regelmäßiger Updates und Sicherheitsüberprüfungen für Software-Abhängigkeiten. Organisationen, die Ghostscript verwenden, sollten umgehend auf die neueste Version aktualisieren und ihre Installationen überprüfen, um eine potenzielle Ausnutzung zu verhindern. Ein proaktiver Sicherheitsansatz kann helfen, die Risiken im Zusammenhang mit solchen Schwachstellen zu mindern.