В «Ghostscript» обнаружены серьезные уязвимости

Fingers playing piano keys in warm light — Garvit Nama / Unsplash

В программном обеспечении «Ghostscript», которое используется для обработки файлов PDF и PostScript, были раскрыты несколько уязвимостей, которые могут привести к выполнению произвольного кода и повышению привилегий. Уязвимости были исправлены в обновлении, выпущенном в сентябре 2026 года.

В версии «Ghostscript» до «10.08.0» были обнаружены уязвимость переполнения буфера в куче «CVE-2026-39919» и уязвимость повышения привилегий «CVE-2026-19547» для версии под Windows.

Уязвимость «CVE-2026-39919» связана с обработкой изображений формата «JPEG 2000». При наличии различий в разрешении между компонентами изображения и обработке с точностью менее 8 бит, может произойти запись данных за пределами выделенной области, что приводит к разрушению памяти. Обработка поддельного PDF может позволить выполнить произвольный код.

Уязвимость «CVE-2026-19547» возникает из-за поиска файлов ресурсов PostScript в версии для Windows. Аутентифицированный локальный пользователь может разместить недопустимые файлы в определенной директории, что позволяет другим пользователям или службам запускать «Ghostscript» с правами этого процесса и выполнять произвольный код.

В системе оценки уязвимостей «CVE-2026-39919» имеет базовую оценку «9.8» по «CVSSv3.1» и «9.3» по «CVSSv4.0», что классифицирует ее как «критическую» уязвимость. Уязвимость «CVE-2026-19547» оценена в «7.0» по «CVSSv4.0» и считается «высокой».