Ghostscript, CVE-2026-39919 (CVSS 9.8): PDF malevoli possono eseguire codice

• Ghostscript, CVE-2026-39919 (CVSS 9.8): heap overflow nel decoder JPEG 2000, RCE tramite PDF malevoli
• Colpite le versioni precedenti alla 10.08.0; a rischio WordPress, portali documentali e API di conversione
• Nessuno sfruttamento attivo segnalato; scoperta da Wordfence
• Aggiornare il pacchetto o ricostruire i container; in alternativa bloccare i PDF o disattivarne l'elaborazione in ImageMagick

Una vulnerabilità critica in Ghostscript, tracciata come CVE-2026-39919 e con punteggio CVSS 9.8 su 10, può permettere a un attaccante di eseguire codice su server vulnerabili usando file PDF costruiti ad hoc. Colpisce le versioni precedenti alla 10.08.0. Ghostscript è un componente molto diffuso per il rendering dei PDF, la creazione di miniature dei documenti e la conversione di file PostScript in immagini.

Come funziona il problema

Si tratta di un heap-based buffer overflow nella fase di decodifica delle immagini JPEG 2000. Il difetto emerge quando Ghostscript elabora un PDF con un’immagine JPEG 2000 che ha impostazioni insolite di risoluzione dei componenti e valori di campione inferiori al byte. Il programma riserva troppa poca memoria per i dati dell’immagine e poi ne scrive di più di quanto il buffer possa contenere. I dati in eccesso sovrascrivono la memoria adiacente.

I ricercatori di Wordfence, che hanno individuato la falla durante una verifica di sicurezza su WordPress 7.1 con il sistema di test Argus, hanno mostrato in un ambiente WordPress controllato che la corruzione di memoria può evolvere in esecuzione di codice remoto non autenticata, in alcune build di server. Il codice viene eseguito con i privilegi dell’account che elabora il PDF, come l’utente del web server o di PHP-FPM, e non ottiene automaticamente i privilegi di root.

Chi è esposto

Il rischio riguarda i servizi che accettano PDF caricati dagli utenti e ne generano anteprime o miniature: siti WordPress, portali documentali, servizi di stampa, email gateway, piattaforme di fatturazione e API di conversione file. Su molti WordPress la catena è WordPress, Imagick, ImageMagick e infine Ghostscript. L’applicazione principale può quindi non contenere alcun codice Ghostscript e raggiungere comunque il componente vulnerabile.

Il codice difettoso è stato introdotto in Ghostscript 9.21 e riguarda le versioni upstream fino alla 10.07.1. Le distribuzioni Linux possono però applicare il fix a pacchetti con numerazione più vecchia, quindi il comando gs --version da solo non basta a stabilire se un server sia sicuro.

Test e tempistiche

Wordfence ha segnalato il problema ad Artifex il 23 agosto. Il vendor lo ha confermato il giorno dopo e ha rilasciato la correzione l’8 settembre. Nei test del 15 settembre, su dieci ambienti di pacchetti (Debian, Ubuntu, Fedora, AlmaLinux, Alpine Linux e un’immagine Docker ufficiale di WordPress) sono state trovate build vulnerabili.

I file di prova non funzionavano senza modifiche su tutti i sistemi, quindi non risulta un singolo PDF universale. Un exploit specifico per una build continuava però a funzionare su sistemi con lo stesso eseguibile. Il dato è rilevante per hosting provider e aziende che distribuiscono molti server dalla stessa immagine container. Non sono stati segnalati sfruttamenti attivi.

Cosa fare

• Installare il pacchetto Ghostscript corretto fornito dal vendor del sistema operativo o dall’hosting provider.
• Con i container, ricostruire le immagini da una base aggiornata e rieseguire il deploy, senza limitarsi a riavviare il container esistente.
• Per il WordPress gestito, chiedere al provider se il pacchetto include la correzione per CVE-2026-39919 e se i PDF caricati vengono convertiti in anteprime.
• Se non è possibile aggiornare subito, impedire il caricamento di PDF da utenti non attendibili oppure disattivare l’elaborazione dei PDF tramite le policy di ImageMagick.

Limiti di frequenza e di dimensione dei caricamenti riducono i tentativi ripetuti, ma non eliminano la falla. Anche la modalità -dSAFER di Ghostscript non va considerata una soluzione: Wordfence ha raggiunto il percorso vulnerabile con questa impostazione attiva.

Fonte: Cyber Security News · Foto: Cyber Security News