CVE-2017-8291
Artifex Ghostscript टाइप कन्फ्यूज़न भेद्यता
- प्रकाशित
- 27 अप्रैल 2017
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 2 मई 2017
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Artifex Ghostscript के 2017-04-26 तक के संस्करण, .rsdparams टाइप कन्फ्यूजन के माध्यम से -dSAFER बाईपास और रिमोट कमांड निष्पादन की अनुमति देते हैं, जिसमें gs प्रोग्राम को इनपुट के रूप में दिए गए एक विशेष रूप से तैयार .eps दस्तावेज़ में "/OutputFile (%pipe%" सबस्ट्रिंग शामिल होती है; इसका शोषण अप्रैल 2017 में वास्तविक दुनिया में किया गया था।
स्रोत
python/PIL-CVE-2017-8291
Python PIL/Pillow Remote Command Execution (GhostButt / CVE-2017-8291)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/ghostscript:9.21-with-flask(python/PIL-CVE-2017-8291/docker-compose.yml:services.web.image)
modules/exploits/unix/fileformat/ghostscript_type_confusion.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Unix($.exploit_unix/fileformat/ghostscript_type_confusion.platform)
- verification: check_not_declared($.exploit_unix/fileformat/ghostscript_type_confusion.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।