Ghostscript: Zero-Day-Exploit soll Entwickler zur Reaktion zwingen

In der relativ weit verbreiteten Ghostscript-Software steckt eine Sicherheitslücke, die vor allem Server-Systeme in Gefahr bringt. Bekannt ist diese in der Security-Szene bereits länger, ein richtiger Patch lässt aber auf sich warten. Der vietnamesische Sicherheitsforscher Nguyen The Duc hat jetzt den Proof-of-Concept-Code eines Exploits veröffentlicht, mit dem die Schwachstelle angegriffen werden kann. Dieser steht auf GitHub zur Verfügung und seine Wirksamkeit wurde bereits von mehreren anderen Sicherheitsexperten bestätigt. Insofern dürfte es wichtig sein, dass Nutzer von Ghostscript oder Produkten, die auf diese Software setzen, besondere Maßnahmen ergreifen, um sich vor Angriffen zu schützen.

Ghostscript ist eine relativ kleine Bibliothek, die bereits seit Ende der 1980er Jahre existiert und Anwendungen befähigt, PostScript-basierte Dateien und PDF-Dokumente zu verarbeiten. Meist wird Ghostscript daher in Desktop-Anwendungen eingebunden, aber auch in verschiedenen Servern kommt der Code zur Anwendung - und in letzterem Fall ist die jetzt offengelegte Schwachstelle von Belang.

Maintainer reagiert nicht

Der von Nguyen bereitgestellte Exploit setzt auf eine manipulierte SVG-Datei, die über die Bildverarbeitung in Ghostscript fremdem Code auf ein System schleust und zur Ausführung bringt. Ursprünglich wurde die zugrundeliegende Schwachstelle von Emil Lerner, dem Technikchef Wunderfunds, entdeckt. Aufgrund dessen Meldungen haben verschiedene Unternehmen wie AirBNB, Dropbox und Yandex bereits Patches in ihre Software, die mit Ghostscript arbeitet, eingebracht.

Allerdings gab es bis heute keine Korrektur durch Artifex, der Firma, die hinter dem Ghostscript-Projekt steht. Und dies ist nicht das erste Mal so. Bereits 2018 hatte ein Sicherheitsforscher Googles mehrere Schwachstellen gemeldet - einen Patch gab es dann erst, als das Thema breit in der Öffentlichkeit gestreut wurde. Offenbar hofft nun auch Nguyen, dass seine Exploit-Veröffentlichung das Unternehmen endlich zu einer Reaktion zwingt.

Siehe auch: