BDU:2023-03466

Опубликовано: 25 июн. 2023

Источник: fstec

CVSS3: 8.4

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем использования префикса %pipe% или специального символа |

Вендор

Artifex Software Inc.

АО «НТЦ ИТ РОСА»

АО "НППКТ"

АО «ИВК»

Наименование ПО

Ghostscript

РОСА ХРОМ

ОСОН ОСнова Оnyx

АЛЬТ СП 10

Версия ПО

до 10.01.2 (Ghostscript)

12.4 (РОСА ХРОМ)

до 2.8 (ОСОН ОСнова Оnyx)

- (АЛЬТ СП 10)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО "НППКТ" ОСОН ОСнова Оnyx до 2.8

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,4)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование антивирусного программного обеспечения для обнаружения средств эксплуатации уязвимостей.

Использование рекомендаций производителя:

https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=0974e4f2ac0005d3731e0b5c13ebc7e965540f4d

https://git.ghostscript.com/?p=ghostpdl.git;a=commit;h=505eab7782b429017eb434b2b95120855f2b0e3c

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения ghostscript до версии 9.53.3~dfsg-7+deb11u5

Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2318

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-36664
CVE

EPSS

Процентиль: 89%

0.04643

Низкий

8.4 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

ROS-20230911-05

CVSS3: 8.4

redos

почти 2 года назад

Уязвимость Ghostscript

CVE-2023-36664

CVSS3: 7.8

ubuntu

около 2 лет назад

Artifex Ghostscript through 10.01.2 mishandles permission validation for pipe devices (with the %pipe% prefix or the | pipe character prefix).

CVE-2023-36664

CVSS3: 8.4

redhat

около 2 лет назад

Artifex Ghostscript through 10.01.2 mishandles permission validation for pipe devices (with the %pipe% prefix or the | pipe character prefix).

CVE-2023-36664

CVSS3: 7.8

nvd

около 2 лет назад

Artifex Ghostscript through 10.01.2 mishandles permission validation for pipe devices (with the %pipe% prefix or the | pipe character prefix).

CVE-2023-36664

CVSS3: 7.8

debian

около 2 лет назад

Artifex Ghostscript through 10.01.2 mishandles permission validation f ...

EPSS

Процентиль: 89%

0.04643

Низкий

8.4 High

CVSS3

7.2 High

CVSS2