พบช่องโหว่การ RCE ในไลบรารี PDF ของ open-source ยอดนิยมอย่าง Ghostscript

Ghostscript (โกสสคริปต์) ซึ่งเป็น open-source สำหรับภาษา PostScript และไฟล์ PDF ที่ใช้กันอย่างแพร่หลายใน Linux พบว่ามีความเสี่ยงต่อช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่มีความรุนแรงระดับ critical

โดยช่องโหว่มีหมายเลข CVE-2023-3664 มีคะแนน CVSS v3 ที่ 9.8 และส่งผลกระทบต่อ Ghostscript ทุกรุ่นก่อนเวอร์ชัน 10.01.2 ซึ่งเป็นเวอร์ชันล่าสุดที่ถูกเผยแพร่เมื่อสามสัปดาห์ก่อน

G.Glass และ D.Truman นักวิเคราะห์ของ Kroll ได้พัฒนา Proof of Concept (PoC) เพื่อตรวจสอบช่องโหว่ดังกล่าวระบุว่า ช่องโหว่นี้จะทำให้มีการเรียกใช้โค้ดที่เป็นอันตรายได้ก็ต่อเมื่อมีการเปิดไฟล์ที่เป็นอันตรายที่ถูกสร้างขึ้นโดยเฉพาะ

เมื่อพิจารณาว่า Ghostscript ถูกติดตั้งโดยค่าเริ่มต้นใน Linux หลายรุ่น และถูกใช้โดยซอฟต์แวร์ เช่น LibreOffice, GIMP, Inkscape, Scribus, ImageMagick และ CUPS printing มีโอกาสสูงที่ช่องโหว่ CVE-2023-3664 จะถูกโจมตีได้

Kroll ยังแสดงความคิดเห็นว่าหากมีการใช้งาน Ghostscript บน Windows ก็อาจส่งผลกระทบด้วยเช่นกัน

ช่องโหว่ Ghostscript

ช่องโหว่ CVE-2023-3664 เป็นช่องโหว่ที่เกี่ยวกับ OS pipes ซึ่งช่วยให้การใช้งานแอปพลิเคชันต่าง ๆ สามารถแลกเปลี่ยนข้อมูลกัน โดยการส่ง outputs จากที่หนึ่งเป็น inputs ไปยังอีกที่หนึ่ง

ปัญหานี้เกิดขึ้นจากฟังก์ชั่น "gp_file_name_reduce ( )" ใน Ghostscript ซึ่งดูเหมือนว่าจะใช้การรวบรวมเส้นทางหลายเส้นทาง และลดความซับซ้อนโดยการลบการอ้างอิง relative เส้นทางเพื่อเพิ่มประสิทธิภาพ

อย่างไรก็ตาม หากมีการระบุเส้นทางที่สร้างขึ้นมาเฉพาะกับฟังก์ชันที่มีช่องโหว่ เส้นทางดังกล่าวนั้นอาจส่งผลลัพธ์ที่ไม่คาดคิด และส่งผลทำให้เกิดกลไกการตรวจสอบความถูกต้อง และการโจมตีที่อาจเกิดขึ้น

นอกจากนี้ เมื่อ Ghostscript พยายามเปิดไฟล์ จะใช้ฟังก์ชันอื่นที่เรียกว่า "gp_validate_path" เพื่อตรวจสอบว่า location ของไฟล์นั้นปลอดภัยหรือไม่

อย่างไรก็ตาม เนื่องจากฟังก์ชันที่มีช่องโหว่จะเปลี่ยนรายละเอียด location ก่อนที่จะตรวจสอบฟังก์ชันที่สอง ผู้โจมตีสามารถที่จะใช้ประโยชน์จากช่องโหว่ และบังคับให้ Ghostscript จัดการกับไฟล์ใน location ที่ถูกห้ามเข้าถึง

ทางนักวิเคราะห์ของ Kroll ได้สร้าง PoC ที่ถูกเรียกใช้โดยการเปิดไฟล์ EPS (Embedded Postscript) บนแอปพลิเคชั่นต่าง ๆ โดยใช้ Ghostscript

ในวิดีโอสาธิตต่อไปนี้ นักวิจัยแสดงการใช้ประโยชน์จากช่องโหว่ใน Inkscape บน Windows โดยดำเนินการต่าง ๆ เช่น การเปิดเครื่องคิดเลข หรือการแสดงข้อความโต้ตอบกับผู้ใช้

Ghostscript Vulnerability (CVE-2023-36664) Proof of Concept

แนะนําให้ผู้ใช้งาน Linux อัปเกรดเป็นเวอร์ชันล่าสุดของ Ghostscript 10.01.2

ส่วน Ghostscript บน Windows ยังไม่มีแพตซ์สำหรับช่องโหว่ดังกล่าว ดังนั้นจึงควรระมัดระวังเป็นพิเศษในการติดตั้งใช้งานบน Windows

เพื่อช่วย detect ช่องโหว่ CVE-2023-3664 ทาง Kroll ได้แชร์ Sigma rules บน GitHub นี้

ที่มา : bleepingcomputer