ghostscriptの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ghostscriptスイートには、PostScriptドキュメントとPDFドキュメントをレンダリングするためのユーティリティが含まれています。Ghostscriptは、コードを表示または印刷できるようにPostScriptコードを一般的なビットマップ形式に変換します。セキュリティ修正プログラム：* ghostscript関数のgetenv、filenameforall、.libfileが、信頼できないドキュメントを処理するときに通常使用される-dSAFERオプションを有効化しないことで、情報漏えいが発生することがわかりました。特別に細工されたPostScriptドキュメントは、環境変数を読み取り、ディレクトリをリストアップして標的から個々のファイルコンテンツを取り出す可能性があります。（CVE-2013-5653、CVE-2016-7977）* ghostscript関数の.initialize_dsc_parserがパラメーターを使用する前に検証していないため、型の取り違え（Type Confusion）の欠陥があることがわかりました。特別に細工されたPostScriptドキュメントは、gsプロセスのコンテキストでクラッシュコードを実行する可能性があります。（CVE-2016-7979）* ghostscriptが.sethalftone5関数に与えられたパラメーターの有効性を十分にチェックしていないことがわかりました。特別に細工されたPostScriptドキュメントは、クラッシュを引き起こすか、gsプロセスのコンテキストで任意のコードを実行する可能性があります。（CVE-2016-8602）

検出

RHEL 6：ghostscript（RHSA-2017:0014）

critical Nessus プラグイン ID 96309

バージョン 1.13