Sant'GhostButt, fantasma dentro Ghostscript

Patrono dei server che convertono documenti, dei file PostScript inviati da sconosciuti e dell'opzione -dSAFER che tanto sicura non era.

Vita

Nel maggio 2017 un ricercatore mostrò ghostbutt (CVE-2017-8291): in Ghostscript, l'interprete PostScript usato da mezzo mondo per convertire documenti, un file preparato ad arte aggirava la modalità -dSAFER e, con un %pipe% nel nome del file di output, eseguiva comandi sul sistema. Poiché ImageMagick e molti altri chiamavano Ghostscript dietro le quinte, bastava far elaborare un'immagine per cadere nella trappola.

Preghiera

O Sant'GhostButt, che esci dal documento ed entri nella shell, fa' che i nostri interpreti restino dentro i loro confini. Amen.

Come si festeggia

Si festeggia aggiornando Ghostscript e togliendo l'elaborazione dei file PostScript a chi non ne ha bisogno.

Documento aperto da sconosciuto, comando eseguito di nascosto.