PT-2024-5149 · Artifex+3 · Artifex Ghostscript+3

Thomas Rinsma · Publicado 2024-07-03 · Atualizado 2025-10-28 · CVE-2024-29511

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Artifex Ghostscript anteriores à 10.03.1

Descrição

O pacote de software Ghostscript contém uma vulnerabilidade de traversal de diretório ao utilizar o Tesseract para reconhecimento óptico de caracteres (OCR). Isso permite a leitura e gravação de arquivos arbitrários, bem como a gravação de mensagens de erro em arquivos arbitrários, por meio do parâmetro OCRLanguage. Especificamente, a exploração pode ocorrer por meio dos parâmetros debug file e user patterns file. Os pontos de extremidade da API potencialmente envolvidos são aqueles que utilizam a funcionalidade de OCR. Os parâmetros vulneráveis são debug file e user patterns file.

Recomendações

As versões anteriores à 10.03.1 devem ser atualizadas para a versão 10.03.1 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-489

Identificadores relacionados

BDU:2024-05696

CVE-2024-29511

USN-6897-1

Produtos afetados

Artifex Ghostscript

Debian

Linuxmint

Ubuntu

Referências · 31

• https://bugs.ghostscript.com/show_bug.cgi?id=707510 · Nota
• https://t.me/cvenotify/120069 · Publicação no Telegram
• https://openwall.com/lists/oss-security/2024/07/03/7 · Nota
• https://twitter.com/VulmonFeeds/status/1808544067531194453 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2024-29511 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-29511 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-29508 · Aviso do Fabricante
• https://git.ghostscript.com/?p=ghostpdl.git%3Ba=commitdiff%3Bh=3d4cfdc1a44 · Nota
• https://security-tracker.debian.org/tracker/CVE-2024-29511 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-29507 · Aviso do Fabricante
• http://repo.red-soft.ru/redos/7.3c/x86_64/updates · Aviso do Fabricante
• https://twitter.com/oss_security/status/1808527045229457672 · Publicação no Twitter
• https://docs.bell-sw.com/security/cves/CVE-2024-29511 · Nota
• https://osv.dev/vulnerability/USN-6897-1 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-05696 · Nota de Segurança