En kritisk säkerhetsbrist i Ghostscript PDF kan göra det möjligt för angripare att köra kod på servrar som behandlar särskilt utformade dokument. Sårbarheten, som identifieras som CVE-2026-39919, påverkar arbetsflöden för PDF-rendering, inklusive vissa WordPress-konfigurationer för generering av miniatyrbilder.
Artifex åtgärdade problemet i Ghostscript 10.08.0 den 8 september. Forskarna uppgav dock att möjligheten att utnyttja sårbarheten i hög grad beror på målmiljön och att de inte hade observerat några attacker i verkliga miljöer.
Skadliga PDF-filer kan orsaka minneskorruption
Ghostscript tolkar PostScript- och PDF-filer. Applikationer använder programvaran för att rendera dokument som bilder, skapa förhandsvisningar och miniatyrbilder samt optimera PDF-filer.
Forskare från Wordfence upptäckte sårbarheten den 23 augusti med hjälp av Argus, deras AI-drivna forskningssystem. Säkerhetsbristen rör hanteringen av JPEG 2000-bilder som är inbäddade i PDF-dokument.
Mer specifikt kan bildsampling med lågt bitdjup och komponenter med olika upplösningar orsaka ett buffertöverskridande i heapminnet. Forskarna utvecklade två konceptbevis som fick Ghostscript att skriva 1 024 byte till en buffert på 256 byte.
Denna operation korrumperar närliggande minne och kan potentiellt leda till fjärrkörning av kod. Att utlösa minneskorruption innebär dock inte någon garanti för att en angripare kan köra kod framgångsrikt.
Tester visar viktiga begränsningar för exploatering
Säkerhetsbristen i Ghostscript PDF påverkar versionerna 9.21 till och med 10.07.1, såvida de inte innehåller en bakåtporterad säkerhetsfix.
Forskarna undersökte tio Linux-miljöer, inklusive Debian, Ubuntu, Fedora, Alpine och AlmaLinux, samt en ögonblicksbild av en officiell WordPress Docker-avbildning. Samtliga innehöll den sårbara koden.
Trots detta var de inledande resultaten från exploateringsförsöken begränsade. Under 10 240 körningar mot Linux-paket i en laboratorietestmiljö lyckades forskarna inte uppnå fjärrkörning av kod.
Därefter demonstrerade de kodkörning på en specialbyggd testserver. För att lyckas krävdes ändringar av PDF-teckensnitt, språkinställningar, teckensnittskonfiguration och ett centralt systembibliotek. Även då förblev exploateringen opålitlig.
Resultaten visar att det finns en potentiell väg till att kompromettera servrar, samtidigt som de visar att framgången vid exploatering varierar avsevärt mellan olika miljöer.
Exponering i WordPress beror på kedjan för PDF-behandling
WordPress kan generera miniatyrbilder av PDF-filer genom en kedja av komponenter. PHP-tillägget Imagick anropar ImageMagick, som därefter kan starta Ghostscript för att rendera dokumentet.
För att den demonstrerade angreppsmetoden ska fungera måste fyra villkor vara uppfyllda:
- Angriparen kan ladda upp en PDF-fil, antingen anonymt eller via ett konto med begränsade behörigheter.
- Webbplatsen behandlar det uppladdade dokumentet för att skapa en förhandsvisning eller miniatyrbild.
- Den installerade programvaran och säkerhetspolicyerna tillåter att behandlingen når Ghostscript.
- Ghostscript innehåller fortfarande den sårbara avkodningskoden.
Det är viktigt att notera att en standardinstallation av WordPress inte tillåter anonyma uppladdningar till mediebiblioteket. Därför kräver exploatering utan autentisering en uppladdningsfunktion som tillåter detta.
Problemet sträcker sig också bortom WordPress. Andra applikationer kan exponera sårbarheten om de skickar PDF-filer från angripare till den berörda Ghostscript-koden. Kraven på autentisering beror på vilken applikation som hanterar uppladdningen.
Korrigerade versioner och bakåtporterade säkerhetsfixar finns tillgängliga
Artifex släppte Ghostscript 10.08.0 med en säkerhetsfix den 8 september. Ansvariga för programvarupaket har också bakåtporterat korrigeringar till äldre versioner. Därför bör administratörer kontrollera paketens revisionsinformation innan de bedömer exponeringen enbart utifrån versionsnummer.
WordPress-administratörer bör be sina webbhotellsleverantörer att bekräfta att det underliggande Ghostscript-paketet innehåller säkerhetsfixen.
För containerbaserade installationer kan problemet med sårbara medföljande paket åtgärdas genom att bygga om och distribuera på nytt med en uppdaterad och korrigerad basavbildning.
Om en omedelbar uppdatering inte är möjlig omfattar tillfälliga åtgärder att blockera PDF-uppladdningar eller inaktivera PDF-rendering i ImageMagick.
Vid tidpunkten för offentliggörandet rapporterade Wordfence att inga attacker som utnyttjade CVE-2026-39919 hade observerats i verkliga miljöer.
0 svar till ”Säkerhetsbrist i Ghostscript PDF kan möjliggöra serverövertagande via filuppladdningar”