Ghostscript updaten
Hallo Liste,
da ja hier häufig Ghostscript zur Erzeugung von PDFs empfohlen wurde
nachstehend ein Link zu einer heutigen Meldung bei heise:
Es ist für diejenigen, die Ghostscript nutzen, sinnvoll, auf die Version
8.62 zu aktualisieren, damit man nicht zum Angriffsziel werden kann.
Mathias Milchmeyer
Der Text der Meldung nachstehend:
> Der Google-Mitarbeiter Chris Evans hat eine Sicherheitslücke in Ghostscript
> entdeckt, die Angreifer mit manipulierten Postscript-Dateien zum Einschleusen
> und Ausführen von beliebigem Programmcode missbrauchen können. Solche
> Postscript-Dateien können beispielsweise auf Webseiten zum Download angeboten
> werden oder als E-Mail-Anhang den Weg auf den Rechner finden.
> Der Fehler beruht laut der Sicherheitsmeldung von Evans auf der fehlenden
> Überprüfung eines Längenwertes in Postscript-Dateien in der Funktion
> zseticcspace(). Angreifer können beliebige Werte für die Länge eines Arrays
> vorgeben, die Ghostscript blindlings übernimmt. Dabei kann ein stackbasierter
> Pufferüberlauf auftreten und eingeschleuster Code ausgeführt werden.
>
> Der Fehler betrifft Ghostscript 8.61 und möglicherweise ältere Fassungen. Die
> Ghostscript-Entwickler haben bereits Version 8.62 veröffentlicht, die den
> Fehler nicht mehr enthält. Die Linux-Distributoren verteilen inzwischen
> ebenfalls fehlerbereinigte Pakete. Administratoren von betroffenen Systemen
> sollten die aktualisierten Pakete schnellstmöglich einspielen.