Sikkerhedshul i Ghostscript PDF kan muliggøre overtagelse af servere via filuploads

En kritisk sikkerhedsbrist i Ghostscript PDF kan gøre det muligt for angribere at udføre kode på servere, der behandler særligt udformede dokumenter. Sårbarheden, der er registreret som CVE-2026-39919, påvirker arbejdsgange til PDF-rendering, herunder visse WordPress-konfigurationer til generering af miniaturebilleder.

Artifex rettede problemet i Ghostscript 10.08.0 den 8. september. Forskerne oplyste dog, at muligheden for at udnytte sårbarheden i høj grad afhænger af målmiljøet, og at de ikke havde observeret angreb i virkelige miljøer.

Ondsindede PDF-filer kan udløse hukommelseskorruption

Ghostscript fortolker PostScript- og PDF-filer. Applikationer bruger softwaren til at rendere dokumenter som billeder, oprette miniaturebilleder til forhåndsvisning og optimere PDF-filer.

Forskere fra Wordfence opdagede sårbarheden den 23. august ved hjælp af Argus, deres AI-drevne forskningssystem. Sikkerhedsbristen vedrører håndteringen af JPEG 2000-billeder, der er indlejret i PDF-dokumenter.

Mere specifikt kan billedsamples med lav bitdybde og uoverensstemmende opløsninger mellem billedkomponenter forårsage et bufferoverløb i heap-hukommelsen. Forskerne udviklede to proof-of-concept-eksploits, der fik Ghostscript til at skrive 1.024 byte til en buffer på 256 byte.

Denne operation korrumperer nærliggende hukommelse og kan potentielt føre til fjernkørsel af kode. At udløse hukommelseskorruption garanterer dog ikke, at en angriber kan udføre kode med succes.

Tests afslører væsentlige begrænsninger ved udnyttelse

Sikkerhedsbristen i Ghostscript PDF påvirker versionerne 9.21 til og med 10.07.1, medmindre de indeholder en tilbageporteret sikkerhedsrettelse.

Forskerne undersøgte ti Linux-miljøer, herunder Debian, Ubuntu, Fedora, Alpine og AlmaLinux, samt et øjebliksbillede af et officielt WordPress Docker-image. Alle indeholdt den sårbare kode.

Ikke desto mindre var resultaterne af deres indledende forsøg på at udnytte sårbarheden begrænsede. På tværs af 10.240 kørsler mod Linux-pakker i et laboratorietestmiljø lykkedes det ikke forskerne at opnå fjernkørsel af kode.

Efterfølgende demonstrerede de kodekørsel på en specialbygget testserver. For at opnå dette krævedes ændringer af PDF-skrifttyper, sprogindstillinger, skrifttypekonfiguration og et centralt systembibliotek. Selv da var udnyttelsen fortsat upålidelig.

Resultaterne viser en potentiel vej til kompromittering af servere, samtidig med at de understreger, at mulighederne for vellykket udnyttelse varierer betydeligt mellem forskellige miljøer.

Eksponering i WordPress afhænger af kæden til PDF-behandling

WordPress kan generere miniaturebilleder af PDF-filer gennem en kæde af komponenter. PHP-udvidelsen Imagick kalder ImageMagick, som derefter kan starte Ghostscript for at rendere dokumentet.

For at den demonstrerede angrebsmetode kan fungere, skal fire betingelser være opfyldt:

• Angriberen kan uploade en PDF-fil, enten anonymt eller via en konto med begrænsede rettigheder.
• Webstedet behandler det uploadede dokument for at oprette en forhåndsvisning eller et miniaturebillede.
• Den installerede software og sikkerhedspolitikkerne tillader, at behandlingen når frem til Ghostscript.
• Ghostscript indeholder stadig den sårbare afkodningskode.

Det er vigtigt at bemærke, at en standardinstallation af WordPress ikke tillader anonyme uploads til mediebiblioteket. Derfor kræver udnyttelse uden godkendelse en uploadmulighed, der tillader dette.

Problemet rækker også ud over WordPress. Andre applikationer kan eksponere sårbarheden, hvis de sender PDF-filer leveret af angribere til den berørte Ghostscript-kode. Kravene til godkendelse afhænger af den applikation, der håndterer uploaden.

Rettede versioner og tilbageporterede sikkerhedsrettelser er tilgængelige

Artifex udgav Ghostscript 10.08.0 med en rettelse den 8. september. Vedligeholderne har også tilbageporteret sikkerhedsrettelser til ældre versioner, så administratorer bør kontrollere pakkernes revisionsoplysninger, før de vurderer eksponeringen alene ud fra versionsnumre.

WordPress-administratorer bør bede deres hostingudbydere om at bekræfte, at den underliggende Ghostscript-pakke indeholder rettelsen.

For containerbaserede installationer kan genopbygning og genudrulning med et opdateret og sikkerhedsrettet basisimage afhjælpe sårbare medfølgende pakker.

Hvor en øjeblikkelig opdatering ikke er mulig, omfatter midlertidige foranstaltninger at blokere PDF-uploads eller deaktivere PDF-rendering i ImageMagick.

På tidspunktet for offentliggørelsen rapporterede Wordfence, at de ikke havde observeret udnyttelse af CVE-2026-39919 i virkelige miljøer.