Artifex Ghostscript代码执行漏洞安全风险通告

漏洞名称

Artifex Ghostscript 代码执行漏洞

公开时间

2023-03-31

更新时间

2023-04-14

CVE编号

CVE-2023-28879

其他编号

QVD-2023-8040

威胁类型

代码执行

技术类型

越界写入

厂商

Artifex

产品

Ghostscript

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已发现

已发现

未发现

已公开

漏洞描述

Ghostscript 存在越界写入漏洞，s_xBCPE_process 函数在转义时，如果最后一个字符需要转义，则会写入两个字节，导致越界写入了一个字节。成功利用该漏洞能够在目标系统上执行任意代码。

影响版本

Artifex Ghostscript < 10.01.0

不受影响版本

Artifex Ghostscript >= 10.01.0

其他受影响组件

无

漏洞名称

Artifex Ghostscript 代码执行漏洞

CVE编号

CVE-2023-28879

其他编号

QVD-2023-8040

CVSS 3.1评级

高危

CVSS 3.1分数

8.8

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

用户认证（Au）

用户交互（UI）

无

需要

影响范围（S）

机密性影响（C）

不改变

高

完整性影响（I）

可用性影响（A）

高

高

危害描述

攻击者可以利用该漏洞特制PostScript并诱使受害者打开，成功利用将在目标系统上执行任意代码。