Ghostscript updaten

Hallo Liste,

da ja hier häufig Ghostscript zur Erzeugung von PDFs empfohlen wurde
nachstehend ein Link zu einer heutigen Meldung bei heise:

Es ist für diejenigen, die Ghostscript nutzen, sinnvoll, auf die Version
8.62 zu aktualisieren, damit man nicht zum Angriffsziel werden kann.

Mathias Milchmeyer

Der Text der Meldung nachstehend:

> Der Google-Mitarbeiter Chris Evans hat eine Sicherheitslücke in Ghostscript
> entdeckt, die Angreifer mit manipulierten Postscript-Dateien zum Einschleusen
> und Ausführen von beliebigem Programmcode missbrauchen können. Solche
> Postscript-Dateien können beispielsweise auf Webseiten zum Download angeboten
> werden oder als E-Mail-Anhang den Weg auf den Rechner finden.
> Der Fehler beruht laut der Sicherheitsmeldung von Evans auf der fehlenden
> Überprüfung eines Längenwertes in Postscript-Dateien in der Funktion
> zseticcspace(). Angreifer können beliebige Werte für die Länge eines Arrays
> vorgeben, die Ghostscript blindlings übernimmt. Dabei kann ein stackbasierter
> Pufferüberlauf auftreten und eingeschleuster Code ausgeführt werden.
>
> Der Fehler betrifft Ghostscript 8.61 und möglicherweise ältere Fassungen. Die
> Ghostscript-Entwickler haben bereits Version 8.62 veröffentlicht, die den
> Fehler nicht mehr enthält. Die Linux-Distributoren verteilen inzwischen
> ebenfalls fehlerbereinigte Pakete. Administratoren von betroffenen Systemen
> sollten die aktualisierten Pakete schnellstmöglich einspielen.

Re: Ghostscript updaten

#7527 On 12 März, 2008 11:27 rudi said,

Ich war bisher der Meinung, GhostReader gibt es nur für MAC. Für Windows hab ich es noch nicht gefunden.

Re: Ghostscript updaten

#7529 On 12 März, 2008 11:44 Tom Kaegi said,

Hallo rudi
> Ich war bisher der Meinung, GhostReader gibt es nur für MAC. Für
> Windows hab ich es noch nicht gefunden.
>
Hier war nicht von GhostReader, sondern von GhostScript die Rede. Das
ist unter Windows die kostenlose Lösung für PDF-Export aus RagTime
und anderen Programmen.

Thomas

Re: Ghostscript updaten

#7532 On 12 März, 2008 12:16 rudi said,

Danke Thomas für Deine Antwort. Ich war in den letzten Tagen so mit dem Programm "GhostReader" beschäftigt, dass ich "GhostScript" als "GhostReader" gelesen habe. Übrigens - ich bin von dem Programm begeistert. Man kann sich den geschriebenen Text vorlesen lassen.
Danke noch einmal für Deine nette Art, kein zurechtweisen, keine negative Bemerkung wie z.B. lesen müsste man können usw. Deine Reaktion find ich nicht nur gut, sondern sehr gut!
Gruß! Rudi

Re: Ghostscript updaten

#7514 On 11 März, 2008 11:44 Tom Kaegi said,

Lieber Mathias

> da ja hier häufig Ghostscript zur Erzeugung von PDFs empfohlen wurde
> nachstehend ein Link zu einer heutigen Meldung bei heise:
>
>
>
> Es ist für diejenigen, die Ghostscript nutzen, sinnvoll, auf die
> Version
> 8.62 zu aktualisieren, damit man nicht zum Angriffsziel werden kann.

Danke für den Hinweis. Ich habe also heruntergeladen. Aber was jetzt?
Da erhalte ich einen Ordner "Ghostscript 8.62" voller mysteriöser
Sachen, mit denen ich nichts anzufangen weiss. Im Gegensatz dazu sehe
ich in meinem bisherigen Ghostscript-Ordner (gs8.60) nur gerade mal
die Unterordner bin (mit zwei ausführbaren Programmen gswin32 und
gswin32c), examples, doc, lib und Resource, sowie eine uninstall.txt-
Datei. Warum kommt Ghostscript nicht mit einem Installationsprogramm,
das einfach die alte Version ersetzt und keine überflüssigen Dinger
installiert?!

Auf der Seite, auf welche Heise verweist, heisst es ja auch, dass das
der Source-Code von Ghostscript sei. Aber ich will doch nicht dessen
Source-Code, sondern ein ausführbares Programm. Ich mit dem Zeug, das
ich herunter geladen habe, rein gar nichts anfangen! Gibt es einen
Link zu einer Download-Quelle für das ausführbare Programm? Bei
Versiontracker ist leider nichts zu finden.

Kannst du bitte mir (und anderen) Windows-Laien ein wenig auf die
Sprünge helfen? Danke!
Gruss
Thomas

Re: Ghostscript updaten

#7516 On 11 März, 2008 12:49 Jacques Villars said,

Hallo Zusammen,

Le 11 mars 08 à 11:55, Mathias a écrit :

>
>>
>> Es ist für diejenigen, die Ghostscript nutzen, sinnvoll, auf die
>> Version
>> 8.62 zu aktualisieren, damit man nicht zum Angriffsziel werden kann.
>
>

Habe auf dem Mac Ghostscript 8.57 installiert (mit iInstaller)

Gibt es auch auf dem Mac damit ein solches Risiko ?

Grüße,

jacques
_________________

iMacG5 20" — iBookG4 14" — MacOS X 10.4.11 — RagTime 6.0.2 (1632)

Re: Ghostscript updaten

#7517 On 11 März, 2008 13:09 Stephan Will said,

Hallo Tom,

> Kannst du bitte mir (und anderen) Windows-Laien ein wenig auf die
> Sprünge helfen? Danke!

z. Zt. gibt es nur Source-Code oder Dateien für Linux.
Für Windows folgt es noch.
ist meine Anlaufstelle.

Grüße
Stephan

Re: Ghostscript updaten

#7518 On 11 März, 2008 13:14 Stephan Will said,

Hallo Jacques,

Jacques Villars schrieb am 11.03.2008 13:01:
> Habe auf dem Mac Ghostscript 8.57 installiert (mit iInstaller)
>
> Gibt es auch auf dem Mac damit ein solches Risiko ?

ja, da der Fehler auf fehlerhafter Verarbeitung von PostScript-Befehlen
basiert und somit OS-unabhängig ist.

Grüße
Stephan

Re: Ghostscript updaten

#7519 On 11 März, 2008 13:24 Mathias Milchmeyer said,

Tom Kaegi schrieb am 11.03.2008 11:55 Uhr :

> Auf der Seite, auf welche Heise verweist, heisst es ja auch, dass das
> der Source-Code von Ghostscript sei. Aber ich will doch nicht dessen
> Source-Code, sondern ein ausführbares Programm. Ich mit dem Zeug, das
> ich herunter geladen habe, rein gar nichts anfangen! Gibt es einen
> Link zu einer Download-Quelle für das ausführbare Programm? Bei
> Versiontracker ist leider nichts zu finden.

Hallo Thomas,

Wenn ich das richtig sehe (und in der Szene bin ich nun wirklich nicht
drin), dann ist die neue Version seit Ende Februar als Quellcode zum selber
compilieren online erhältlich.

Auf dieser Seite wird mitgeteilt, daß für Windows noch kein Installer zur
Verfügung steht.
Von Deiner bisherigen Version wirst Du ein selbstentpackendes Archiv oder
zumindest eine Ausführbare Datei kennen.
Die wird demnächst noch für die aktuelle Version zur Verfügung gestellt.
Bis dahin mußt Du entweder selbst Hand anlegen (Was ich jedenfalls nicht
hinbekommen würde) oder Ghostscript nicht mit Postscriptcode
unbekannter/zweifelhafter Herkunft benutzen.

Leider kann ich Dir damit nicht richtig helfen.
Aber ich hoffe, daß demnächst eine direkt ausführbare Version zur Verfügung
steht und Du diese dann problemlos installieren kannst.

--
mit freundlichem Gruß

Mathias Milchmeyer

Re: Ghostscript updaten

#7520 On 11 März, 2008 14:21 Thomas Kaegi said,

Danke Stephan und Mathias für die Infos. Nachdem ich mir nun die ganze Geschichte in Ruhe nochmals angesehen habe, bin ich beruhigt. Ghostscript brauche ich ja nur unter Windows, um aus RagTime PDFs exportieren zu können. Ich weiss gar nicht, wie mein Ghostscript mit fremden PDFs in Berührung kommen könnte, ausser ich würde solche PDFs in meine RagTime-Dokumente einbinden. Das mach ich unter Windows aber wohl kaum.

Trotzdem werde ich auf die neuste Version updaten, sobald sie für Win verfügbar ist. Ich bin ja mit meinem 8.60 bereits eine Update-Generation im Rückstand.

Gruss
Thomas