Ghostscript har alvorlige sårbarheter

Close-up of a dark laptop keyboard — Rodrigo Tadeo / Unsplash

Det har blitt offentliggjort detaljer om flere sårbarheter i programvaren Ghostscript, som behandler PDF og PostScript, som kan føre til vilkårlig kodekjøring og heving av rettigheter. Sårbarhetene ble rettet opp i en oppdatering i september 2026.

Ghostscript brukes til å tegne og konvertere PDF og PostScript. Sårbarhetene er identifisert i versjoner før 10.08.0. Den første sårbarheten, kalt CVE-2026-39919, er en heap buffer overflow som oppstår under behandling av JPEG 2000-bilder. Når bilder mellom komponenter har ulik oppløsning og behandles med en samplingspresisjon på mindre enn 8 biter, kan data skrives utenfor det tildelte minnet, noe som fører til minneskader og mulig vilkårlig kodekjøring ved behandling av manipulerte PDF-filer.

Den andre sårbarheten, CVE-2026-19547, oppstår i Windows-versjonen under søkeprosessen for PostScript-ressursfiler. Autentiserte lokale brukere kan plassere uautoriserte filer i spesifikke kataloger, noe som kan føre til at vilkårlig kode kjøres med rettighetene til prosessen når Ghostscript startes av en annen bruker eller tjeneste.

CVE-2026-39919 vurderes med en CVSSv3.1-base score på 9.8 og en CVSSv4.0-score på 9.3, noe som klassifiseres som kritisk. CVE-2026-19547 vurderes med en CVSSv4.0-score på 7.0, klassifisert som høy.