Ghostscriptに任意のコマンド実行が可能な脆弱性 | ScanNetSecurity
2021.09.24(金)

Ghostscriptに任意のコマンド実行が可能な脆弱性

一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は9月13日、Ghostscriptにおける任意のコマンド実行が可能な脆弱性について注意喚起を発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威 セキュリティホール・脆弱性
 一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は9月13日、Ghostscriptにおける任意のコマンド実行が可能な脆弱性について注意喚起を発表した。影響を受けるシステムは以下の通り。

Ghostscript/GhostPDL 9.54.0
Ghostscript/GhostPDL 9.53.3
Ghostscript/GhostPDL 9.52
Ghostscript/GhostPDL 9.50

 Ghostscriptの提供元であるArtifex Software社は現地時間9月9日に、Ghostscriptにおける任意のコマンド実行が可能な脆弱性(CVE-2021-3781)に関するセキュリティアドバイザリを公開した。Ghostscriptが動作するサーバにて、攻撃者が本脆弱性を悪用するコンテンツを処理させることで任意のコマンドを実行する可能性がある。

 JPCERT/CCでは既に、本脆弱性の詳細を解説するとみられる資料や脆弱性を悪用する実証コードの公開を確認している。

 Artifex Software社では、本脆弱性を修正するパッチを公開しており、また、本脆弱性を修正するGhostscript/GhostPDL 9.55.0は9月末頃に公開予定。

 JPCERT/CCでは、本脆弱性への早期の対策実施が難しい場合は、脆弱性を悪用する攻撃の影響を軽減するために、ImageMagickなどのGhostscriptを呼び出すプログラムにてフィルター設定の見直しを検討することを推奨している。
《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×