Diepgaande analyse van kritieke kwetsbaarheden in Ghostscript

Long exposure light trails on a highway before the New York City skyline — Zac Ong / Unsplash

In oktober 2026 werden gedetailleerde informatie over meerdere ernstige kwetsbaarheden in de software Ghostscript bekendgemaakt. De kwetsbaarheden werden in september 2026 tijdens een update gerepareerd. Ghostscript wordt gebruikt voor het verwerken en converteren van PDF- en PostScript-bestanden. In versies vóór 10.08.0 zijn twee specifieke kwetsbaarheden geïdentificeerd. De eerste, CVE-2026-39919, is een heap-buffer-overloop die optreedt bij het verwerken van JPEG 2000-afbeeldingen.

Wanneer de resolutie tussen componenten verschilt en de monsterprecisie lager is dan 8 bits, wordt data buiten het toegewezen gebied geschreven, wat leidt tot geheugenvernietiging. Het manipuleren van een PDF kan ervoor zorgen dat willekeurige code wordt uitgevoerd. De tweede kwetsbaarheid, CVE-2026-19547, treft de Windows-versie. Hierbij speelt het zoeken naar PostScript-resourcebestanden een rol. Een geverifieerde lokale gebruiker kan een onjuist bestand in een specifieke map plaatsen.

Wanneer vervolgens iedereen of een dienst Ghostscript start, kan willekeurige code worden uitgevoerd in de context van dat proces. De ernst wordt onderscheiden beoordeeld. Volgens het Gemeenschappelijk Vulnerabiliteitsbeoordelingssysteem heeft CVE-2026-39919 in versie 3.1 een basis-score van 9.8 en in versie 4.0 een score van 9.3, met een kritieke rating. CVE-2026-19547 scoort in versie 4.0 7.0 en wordt als hoog gerangschikt.