Пропуст во Ghostscript им овозможува на хакерите да преземат контрола над серверите преку прикачување PDF-датотеки

Критична ранливост од типот прелевање на баферот во меморијата на heap (CVE-2026-39919) во интерпретаторот и механизмот за рендерирање Ghostscript може да овозможи далечинско извршување на злонамерен код преку специјално изработени PDF-датотеки.

Ранливоста била откриена на 23 август од истражувачите на Wordfence, платформата на компанијата Defiant, со помош на нивниот систем Argus, кој користи вештачка интелигенција.

Ghostscript е интерпретатор за PostScript и PDF-датотеки што може да ги прикажува PDF-датотеките како слики, да генерира сликички за преглед и да ги оптимизира PDF-датотеките преку компресирање на вградените слики и отстранување на непотребните податоци за фонтовите.

При генерирање сликичка за преглед на PDF-датотека, WordPress може да ја користи PHP-екстензијата Imagick за да го повика ImageMagick, кој потоа го стартува Ghostscript.

Специјално изработена PDF-датотека што содржи слика во формат JPEG 2000 може да предизвика неправилна обработка на примероците со мала битска длабочина и неусогласените резолуции на компонентите.

Користејќи го Argus, истражувачите развиле два експлоита за ранливоста CVE-2026-39919, кои го принудуваат Ghostscript да запише 1.024 бајти во бафер со големина од 256 бајти. Ова ја оштетува соседната меморија и може да доведе до далечинско извршување на код без потреба од автентикација во WordPress-инсталација.

Wordfence се фокусирал на системите WordPress, но истакнува дека ранливоста ги засега сите онлајн системи што користат Ghostscript од верзијата 9.21 до верзијата 10.07.1. Ранливоста може да се искористи и во други средини доколку злонамерниот код се приспособи на конкретната околина.

Истражувачите тестирале десет Linux-околини, вклучувајќи ги Debian, Ubuntu, Fedora, Alpine и AlmaLinux, како и снимка од официјална Docker-слика за WordPress. Утврдиле дека сите тие го содржат ранливиот код.

Истражувачите тестирале два експлоита за докажување на концептот (PoC) и откриле дека нивната способност да ја активираат ранливоста зависи од околината на целниот систем.

Во лабораториска тест-околина, тие ги извршиле експлоитите 10.240 пати против Linux-пакети, но не успеале да постигнат далечинско извршување на код. Сепак, успешно извршиле код од далечина на тест-сервер специјално создаден за таа намена.

Истражувачите откриле дека менувањето на фонтовите во PDF-датотеката, јазичните поставки, конфигурацијата на фонтовите и една основна системска библиотека овозможува експлоитот да успее, иако не секогаш сигурно.

Конкретно, во WordPress-околини, за успешно искористување на ранливоста се потребни четири услови:

1. Напаѓачот може да прикачи PDF-датотека, анонимно или преку корисничка сметка со ограничени привилегии.
2. Веб-страницата ја обработува PDF-датотеката за да генерира преглед или сликичка.
3. Синџирот на обработка стигнува до Ghostscript, при што потребниот софтвер и безбедносните поставки дозволуваат прикажување на PDF-датотеки.
4. Ghostscript го содржи ранливиот код за декодирање, кој сè уште не е поправен.

Wordfence забележува дека стандардната верзија на WordPress не дозволува анонимно прикачување датотеки во Медиумската библиотека (Media Library).

Општо земено, секоја апликација што прикажува PDF-датотеки доставени од напаѓачи преку засегнатиот код на Ghostscript може да биде изложена на оваа ранливост. Дали за нејзино искористување е потребна автентикација зависи од конкретната апликација.

Artifex, компанијата што го одржува Ghostscript, објавила исправка на 8 септември, во верзијата 10.08.0 на интерпретаторот.

Исправките биле пренесени и во постарите верзии, па затоа корисниците треба да ги проверат деталите за конкретните ревизии за да утврдат дали ранливоста е поправена.

Администраторите на WordPress треба, преку својот хостинг-провајдер, да се осигурат дека Ghostscript е надграден на верзијата 10.08.0 или понова.

Доколку користат Docker, се препорачува повторно да ја изградат и да ја распоредат апликацијата со ажурирана основна слика во која е применета безбедносната исправка.

Ако не можат да надградат на верзија на Ghostscript во која ранливоста е поправена, се препорачува да го блокираат прикачувањето PDF-датотеки на серверот или да го оневозможат прикажувањето PDF-датотеки во ImageMagick.

Wordfence соопшти дека досега не забележала случаи на искористување на ранливоста CVE-2026-39919 во реални напади.

Извори:

• Bleeping Computer – Ghostscript flaw lets hackers hijack servers via PDF uploads Bleeping Computer