Ghostscript'teki kritik açık, yüklenen PDF'lerle sunucuların ele geçirilmesine yol açabilir

Yaygın kullanılan PostScript ve PDF yorumlayıcısı Ghostscript'te bulunan kritik bir yığın taşması açığı, yüklenen PDF dosyalarını işleyen sunucularda saldırganlara kod çalıştırma imkânı verebilir. BleepingComputer'ın 13 Ekim'de aktardığına göre CVE-2026-39919 olarak izlenen açığı Wordfence araştırmacıları buldu. Açık, pek çok web uygulamasının belge önizlemesi ve küçük resim üretmek için kullandığı, çoğu zaman yöneticilerin varlığından haberdar olmadığı bir bileşeni etkiliyor.

Neler oldu?

BleepingComputer'ın haberine göre Wordfence araştırmacıları açığı 23 Ağustos'ta, yapay zekâ destekli Argus sistemleriyle tespit etti. Ghostscript'in geliştiricisi Artifex, 8 Eylül'de yayımladığı 10.08.0 sürümüyle açığı kapattı. Düzeltme eski sürüm dallarına da aktarıldı. Etkilenen sürümler 9.21 ile 10.07.1 arasında.

Wordfence, açığın gerçek saldırılarda istismar edildiğini görmediğini belirtiyor.

Teknik detaylar

Açık, JPEG 2000 görüntüsü gömülü bir PDF ile tetikleniyor. Bu görüntü, Ghostscript'in düşük bit derinlikli örnekleri ve uyumsuz bileşen çözünürlüklerini hatalı işlemesine neden oluyor. Wordfence'in kavram kanıtı istismarlarında Ghostscript, 256 baytlık bir arabelleğe 1.024 bayt yazarak bitişik belleği bozuyor.

BleepingComputer'a göre açığı istismar etmek kolay değil. Laboratuvar testlerinde istismarlar standart Linux paketlerine karşı 10.240 kez çalıştırıldı ancak kod çalıştırma sağlanamadı. İstismar yalnızca özel olarak hazırlanmış bir test sunucusunda başarılı oldu. Yazı tipleri, dil ayarları, yazı tipi yapılandırması ve bir çekirdek sistem kütüphanesinde yapılan değişiklikler başarı şansını artırsa da sonuç güvenilir değildi. Wordfence yine de saldırgan yükü ortama göre uyarlarsa, açık sürümü çalıştıran ve internete açık her sistemin risk altında olduğu uyarısında bulunuyor.

Wordfence; Debian, Ubuntu, Fedora, Alpine ve AlmaLinux'un da aralarında bulunduğu on Linux ortamını ve resmi bir WordPress Docker imajı anlık görüntüsünü test etti. Hepsinde açık kod bulunuyordu.

Kimler etkileniyor?

En büyük endişe WordPress siteleri için. Küçük resim üretimi PHP'nin Imagick eklentisi üzerinden ImageMagick'e, oradan da Ghostscript'e ulaşabiliyor. Bu da kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmayla sonuçlanabiliyor. Wordfence'e göre WordPress'e başarılı bir saldırı için şu koşulların hepsi gerekiyor: Saldırgan anonim olarak ya da düşük yetkili bir hesapla PDF yükleyebilmeli ve site önizleme oluşturmak için dosyayı işlemeli. İşleme zinciri, PDF işlemeye izin veren ayarlarla Ghostscript'e ulaşmalı ve kurulu Ghostscript yamasız olmalı. Wordfence, standart WordPress kurulumunun Ortam Kütüphanesi'ne anonim yüklemeye izin vermediğini hatırlatıyor ancak eklentiler ve özel formlar buna imkân tanıyabiliyor.

Kullanıcıların yüklediği PDF'leri sunucu tarafında ImageMagick veya Ghostscript ile işleyen diğer uygulamalar da risk altında olabilir.

Ne yapmalı?

Wordfence, Ghostscript'in 10.08.0 veya daha yeni bir sürüme yükseltilmesini ya da paket revizyonu kontrol edilerek düzeltmenin uygulandığının doğrulanmasını öneriyor. Paylaşımlı barındırma kullanan siteler sağlayıcılarından güncelleme talep etmeli. Docker kurulumları yamalı bir temel imajla yeniden derlenip dağıtılmalı. Güncelleme hemen yapılamıyorsa yöneticiler düzeltme uygulanana kadar PDF yüklemelerini engelleyebilir veya ImageMagick politikasında PDF işlemeyi kapatabilir.