jostaub/ghostscript-cve-2023-43115CVE-2023-43115를 이해하기 위한 예제가 포함된 간단한 글
CVE-2023-43115 이해를 돕기 위한 간단한 예제와 함께 작성된 소개 글입니다.
[!WARNING] 저는 주로 문제를 이해하고 사이버 보안에 대해 배우기 위해 이 글을 작성했습니다. 따라서 오류가 있을 수 있습니다.
IJS 장치(Improved Inkjet Printing)를 활용하려면 Ghostscript가 IJS 서버를 시작해야 합니다. 이는 IjsServer 매개변수에 지정된 경로를 사용하여 수행됩니다. IjsServer 매개변수는 파일 시스템 내의 원하는 파일을 참조하도록 구성할 수 있으며, Ghostscript는 이후 해당 지정된 파일을 실행합니다. 여기서 이것이 어떻게 잠재적으로 악용될 수 있는지 쉽게 알 수 있습니다. 예를 들어, 다음 ghostscript 명령을 실행하여 hello world를 출력할 수 있습니다.
❯ gs -sDEVICE=ijs -sIjsServer="bash -c 'echo Hello World>&2'"
GPL Ghostscript 9.55.0 (2021-09-27)
Copyright (C) 2021 Artifex Software, Inc. All rights reserved.
This software is supplied under the GNU AGPLv3 and comes with NO WARRANTY:
see the file COPYING for details.
Hello World
이 자체로는 사용자가 이 매개변수를 제공해야 하므로 큰 문제가 되지 않습니다. 그러나 postscript 스크립트 내에서 이 장치와 IJsServer 매개변수를 설정하는 것도 가능합니다.
예를 들어 attack_example_*.ps를 참조하십시오 (gs FILENAME으로 실행). 이는 결과적으로 이 스크립트를 실행하는 시스템에서 공격자가 코드를 실행할 수 있게 할 수 있습니다. 그러나 이 문제는 알려져 있으며 공식적으로 문서화되어 있고 LockSafetyParams를 true로 설정하여 방지할 수 있습니다.
LockSafetyParams가 활성화된 상태에서 이 CVE를 활용하려면, 공격자는 LockSafetyParams를 변경하는 작동하는 익스플로잇이 필요합니다. 그러나 그러한 익스플로잇이 있다면, 사용된 버전에 따라 다른 여러 가능한 공격 벡터가 있을 수 있습니다.
수정의 작성자 Ken Sharp는 언급된 LockSafetyParams 보안 솔루션을 postscript로 구현되어 postscript 코드에 취약하기 때문에 해킹에 가깝다고 불렀습니다. 이로 인해 과거에 이 매개변수를 덮어쓸 수 있었던 여러 보안 문제가 발생했습니다 (예를 들어 CVE-2018-19475 분석 참조). 수정은 IjsServer 경로 설정을 방지하는 보호 메커니즘을 LockSafetyParams에서 postscript 코드의 영향을 받지 않는 새로운 -dSAFER 매개변수로 변경합니다.
[!NOTE] 취약한 버전 9.55.0의 문서에는 이미 -dSAFER 매개변수를 사용하라고 명시되어 있으며, 이는 문서 오류로 보입니다.