Abo
  • Services:

Sicherheitslücke: Ghostscript-Lücken gefährden Imagemagick und Linux-Desktops

Der Postscript-Parser von Ghostscript ist nicht besonders sicher, er wird jedoch an zahlreichen Stellen automatisiert aufgerufen. Damit lassen sich etwa Bildkonvertierungen mittels Imagemagick oder Linux-Dateimanager angreifen.

Artikel veröffentlicht am , Hanno Böck
Ein Exploit für eine Sicherheitslücke in Ghostscript wird direkt ausgeführt, wenn man die Datei im Dateimanager Nautilus unter Ubuntu anzeigt.
Ein Exploit für eine Sicherheitslücke in Ghostscript wird direkt ausgeführt, wenn man die Datei im Dateimanager Nautilus unter Ubuntu anzeigt. (Bild: TOSHIFUMI KITAMURA/AFP/Getty Images)

Tavis Ormandy von Googles Project Zero hat auf zahlreiche Sicherheitslücken in der Software Ghostscript hingewiesen. Die Lücken ermöglichen es, Postscript-Dateien zu erzeugen, die bei der Verarbeitung mit Ghostscript Shell-Befehle ausführen. Ein Ausnutzen dieser Lücken ist damit ausgesprochen trivial.

Stellenmarkt
  1. Cartonplast Group GmbH, Dietzenbach
  2. ABB AG, Friedberg

Postscript ist ein Format für Dokumente, das faktisch eine komplette Programmiersprache enthält. Ghostscript ist die einzige verbreitete Open-Source-Implementierung des Postscript-Formats. Doch um dessen Qualität ist es offenbar nicht sonderlich gut bestellt. Informationen über mindestens elf verschiedene Sicherheitslücken hat Ormandy inzwischen an die Entwickler weitergeleitet.

Imagemagick führt Ghostscript automatisch aus

Nur wenige Nutzer dürften regelmäßig Postscript-Dateien manuell öffnen. Doch das größte Risiko dieser Lücke sind automatisierte Systeme. So ruft etwa die populäre Software Imagemagick automatisch Ghostscript auf, wenn sie eine Postscript-Datei verarbeitet. Imagemagick wird häufig beispielsweise von Webservices verwendet, um Bilder zu skalieren.

Dabei funktioniert der Angriff selbst dann, wenn die Datei eine andere Endung - beispielsweise .jpg - hat, da Imagemagick versucht, das Dateiformat automatisch zu erkennen. In der Konsequenz heißt das, dass jeder Service, der ungeprüfte Dateien an Imagemagick weiterreicht, verwundbar ist.

Einen Fix gibt es bislang nicht, als Workaround kann man jedoch in Imagemagick über die Policy-Konfiguration den Aufruf von Ghostscript unterbinden. In einer Warnung des CERT/CC findet man hierfür eine Beispielkonfiguration.

Angriff auf Dateimanager über Thumbnails

Doch der Angriff über Imagemagick ist nur ein mögliches Szenario, ein weiteres sind Dateimanager unter Linux. In einem Test gelang es uns, mit einem der von Ormandy bereitgestellten Beispiel-Exploits sowohl in Gnomes Dateimanager Nautilus als auch in KDEs Dolphin Code auszuführen. Dafür reicht es, im Dateimanager ein Verzeichnis zu öffnen, in dem sich die entsprechend manipulierte Postscript-Datei befindet.

Der Hintergrund: Die Dateimanager versuchen mittels der entsprechenden Dokumenten-Anzeigeprogramme (Evince in Gnome, Okular in KDE) ein Thumbnail für Postscript-Dateien zu erzeugen. Beide Programme verwenden im Hintergrund zum Parsen der Postscript-Daten wiederum die Ghostscript-Software.

Dieses Angriffsszenario erinnert in gewisser Weise an frühere Probleme in Linux-Systemen. Es gibt eine ganze Reihe von Tools unter Linux, die zahlreiche externe Programme mit teilweise zweifelhafter Sicherheit automatisiert aufrufen, neben Dateimanagern gilt das beispielsweise auch für Desktop-Suchsysteme wie Tracker oder Baloo oder für das Kommandozeilentool less.

Ubuntu deaktiviert Gnome-Sandbox

In Gnome versucht man inzwischen, entsprechende Thumbnail-Prozesse mittels der Software Bubblewrap in eine Sandbox zu verbannen. In Ubuntu hat man diese Funktion aber offenbar abgeschaltet. In unseren Tests funktionierte der Exploit selbst mit der jüngsten Ubuntu-Version 18.04.



Anzeige
Top-Angebote
  1. (bis zu 500,00€ Direktabzug auf Laptops und PCs)
  2. (u. a. Doom, Fallout 4, Dishonored 2)
  3. (u. a. 2 TB 77,99€, 4 TB 108,99€)
  4. 219,00€

JouMxyzptlk 26. Aug 2018

Nur ging es bei Windows 95 gleich in's Internet. Bei Amiga und Atari nicht so. Erst an...

Milebrega 25. Aug 2018

Es ist egal, ob man 100 mal im Jahre oder nie Postscript-Dokumente verarbeitet - für das...

Proctrap 24. Aug 2018

Ich nutze gerne Linux, quasi für alles. Dennoch bzw. gerade deswegen hoffe ich dass es...

RicoBrassers 24. Aug 2018

Vermutlich sind die "großen" Anwendungen nicht betroffen, da das Problem nicht an...

FreiGeistler 24. Aug 2018

Schau mal nach einem Packet namens "thumbler" oder so (bin gerade unterwegs...


Folgen Sie uns
       


Speedport Pro - Test

Der Speedport Pro ist gerade im WLAN verglichen mit dem älteren Speedport Hybrid eine Verbesserung. Allerdings zeigt sich in unserem Test auch, dass die maximale Datenrate nicht steigt. Eher das Gegenteil ist der Fall.

Speedport Pro - Test Video aufrufen
Sailfish X im Test: Die Android-Alternative mit ein bisschen Android
Sailfish X im Test
Die Android-Alternative mit ein bisschen Android

Seit kurzem ist Sailfish OS mit Android-Unterstützung für weitere Xperia-Smartphones von Sony verfügbar. Fünf Jahre nach unserem letzten Test wird es Zeit, dass wir uns das alternative Mobile-Betriebssystem wieder einmal anschauen und testen, wie es auf einem ursprünglichen Android-Gerät läuft.
Ein Test von Tobias Költzsch


    Mobile Bezahldienste: Wie sicher sind Apple Pay und Google Pay?
    Mobile Bezahldienste
    Wie sicher sind Apple Pay und Google Pay?

    Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
    Von Andreas Maisch

    1. Anzeige Was Drittanbieter beim Open Banking beachten müssen
    2. Finanzdienstleister Wirecard sieht kein Fehlverhalten
    3. Fintech Wirecard wird zur Smartphone-Bank

    Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
    Flugzeugabsturz
    Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

    Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

    1. Boeing Rollout der neuen 777X in wenigen Tagen
    2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
    3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

      •  /