Ghostscript-PDF-Sicherheitslücke könnte Serverübernahmen durch Datei-Uploads ermöglichen

Eine kritische Sicherheitslücke in Ghostscript PDF könnte es Angreifern ermöglichen, Code auf Servern auszuführen, die speziell präparierte Dokumente verarbeiten. Die unter CVE-2026-39919 registrierte Schwachstelle betrifft Arbeitsabläufe zur PDF-Darstellung, darunter bestimmte WordPress-Konfigurationen zur Erstellung von Vorschaubildern.

Artifex behob das Problem am 8. September mit Ghostscript 10.08.0. Die Forscher erklärten jedoch, dass die Ausnutzbarkeit stark von der jeweiligen Zielumgebung abhängt. Zudem hatten sie keine Angriffe in realen Umgebungen beobachtet.

Manipulierte PDF-Dateien können Speicherbeschädigungen auslösen

Ghostscript interpretiert PostScript- und PDF-Dateien. Anwendungen nutzen die Software, um Dokumente als Bilder darzustellen, Vorschaubilder zu erstellen und PDF-Dateien zu optimieren.

Forscher von Wordfence entdeckten die Schwachstelle am 23. August mithilfe von Argus, ihrem KI-gestützten Forschungssystem. Die Sicherheitslücke betrifft die Verarbeitung von JPEG-2000-Bildern, die in PDF-Dokumente eingebettet sind.

Insbesondere können Bilddaten mit geringer Bittiefe und unterschiedliche Auflösungen einzelner Bildkomponenten einen Heap-Pufferüberlauf verursachen. Die Forscher entwickelten zwei Proof-of-Concept-Exploits, die Ghostscript dazu brachten, 1.024 Byte in einen lediglich 256 Byte großen Puffer zu schreiben.

Dieser Vorgang beschädigt benachbarte Speicherbereiche und kann möglicherweise zur Ausführung von Code aus der Ferne führen. Das Auslösen einer Speicherbeschädigung garantiert jedoch nicht, dass ein Angreifer tatsächlich erfolgreich Code ausführen kann.

Tests zeigen erhebliche Einschränkungen bei der Ausnutzung

Die Sicherheitslücke in Ghostscript PDF betrifft die Versionen 9.21 bis einschließlich 10.07.1, sofern diese keine zurückportierte Sicherheitskorrektur enthalten.

Die Forscher untersuchten zehn Linux-Umgebungen, darunter Debian, Ubuntu, Fedora, Alpine und AlmaLinux, sowie einen Snapshot eines offiziellen WordPress-Docker-Images. Alle enthielten den anfälligen Code.

Dennoch waren die ersten Ergebnisse ihrer Ausnutzungsversuche begrenzt. Bei insgesamt 10.240 Ausführungen gegen Linux-Pakete in einer Labortestumgebung gelang es den Forschern nicht, eine Remote-Code-Ausführung zu erreichen.

Anschließend demonstrierten sie die Codeausführung auf einem speziell eingerichteten Testserver. Dafür waren Änderungen an PDF-Schriftarten, Spracheinstellungen, der Schriftartenkonfiguration und einer zentralen Systembibliothek erforderlich. Selbst unter diesen Bedingungen blieb die Ausnutzung unzuverlässig.

Die Ergebnisse zeigen einen potenziellen Weg zur Kompromittierung von Servern. Gleichzeitig verdeutlichen sie, dass die Erfolgsaussichten eines Exploits je nach Umgebung erheblich variieren.

Gefährdung von WordPress hängt von der PDF-Verarbeitungskette ab

WordPress kann PDF-Vorschaubilder über eine Kette verschiedener Komponenten erstellen. Die PHP-Erweiterung Imagick ruft ImageMagick auf, das anschließend Ghostscript starten kann, um das Dokument darzustellen.

Damit der demonstrierte Angriffsweg funktioniert, müssen vier Bedingungen erfüllt sein:

• Der Angreifer kann eine PDF-Datei hochladen, entweder anonym oder über ein Benutzerkonto mit eingeschränkten Berechtigungen.
• Die Website verarbeitet das hochgeladene Dokument, um eine Vorschau oder ein Vorschaubild zu erstellen.
• Die installierte Software und die Sicherheitsrichtlinien erlauben es, dass die Verarbeitung Ghostscript erreicht.
• Ghostscript enthält weiterhin den anfälligen Decodierungscode.

Wichtig ist, dass eine standardmäßige WordPress-Installation keine anonymen Uploads in die Mediathek erlaubt. Eine Ausnutzung ohne Authentifizierung setzt daher eine Upload-Möglichkeit voraus, die dies gestattet.

Das Problem betrifft außerdem nicht ausschließlich WordPress. Auch andere Anwendungen können die Schwachstelle zugänglich machen, wenn sie von Angreifern bereitgestellte PDF-Dateien an den betroffenen Ghostscript-Code weiterleiten. Die Authentifizierungsanforderungen hängen von der Anwendung ab, die den Upload verarbeitet.

Korrigierte Versionen und zurückportierte Sicherheitsupdates verfügbar

Artifex veröffentlichte am 8. September Ghostscript 10.08.0 mit einer entsprechenden Sicherheitskorrektur. Paketbetreuer haben die Korrekturen außerdem auf ältere Versionen zurückportiert. Administratoren sollten deshalb die genauen Paketrevisionen überprüfen, bevor sie die Gefährdung ausschließlich anhand der Versionsnummern beurteilen.

WordPress-Administratoren sollten ihre Hosting-Anbieter bitten, zu bestätigen, dass das zugrunde liegende Ghostscript-Paket die Sicherheitskorrektur enthält.

Bei Container-Installationen können anfällige, mitgelieferte Pakete durch einen erneuten Build und eine erneute Bereitstellung mit einem aktualisierten und gepatchten Basis-Image abgesichert werden.

Falls eine sofortige Aktualisierung nicht möglich ist, gehören das Blockieren von PDF-Uploads oder das Deaktivieren der PDF-Darstellung in ImageMagick zu den vorübergehenden Schutzmaßnahmen.

Zum Zeitpunkt der Veröffentlichung berichtete Wordfence, dass keine aktive Ausnutzung von CVE-2026-39919 in realen Umgebungen beobachtet worden war.