漏洞描述

近日亚信安全网络攻防实验室研究员——Sommous监测到Artifex Software Ghostscript一个远程代码执行漏洞利用方式被公开.Ghostscript是美国Artifex Software公司的一款开源的PostScript（一种用于电子产业和桌面出版领域的页面描述语言和编程语言）解析器.该产品可显示Postscript文件以及在非Postscript打印机上打印Postscript文件。.攻击者可借助特制的PostScript文件利用该漏洞关闭安全保护,访问文件系统或执行任意命令。

CVE编号

CVE-2019-14811

漏洞威胁等级

高危

影响范围

Artifex Software Ghostscript < 9.28

漏洞验证

使用公开的payload进行任意命令执行

使用py脚本生成带有OS命令的图片文件,将其上传到相应文件接口等待其解析即可

修复建议

升级至9.28或其以后版本

时间轴

[0] 2019年08年28 CVE官方发布该漏洞
[1] 2019年9月12日亚信安全网络攻防实验室发布预警公告

Reference

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201908-2179
https://nvd.nist.gov/vuln/detail/CVE-2019-14811