Eine kritische Schwachstelle in der Ghostscript-Engine zur Interpretation und Darstellung könnte die Ausführung von Code aus der Ferne auf Servern ermöglichen, die speziell präparierte PDF-Dateien verarbeiten. Die Schwachstelle trägt die Kennung CVE-2026-39919 und nutzt einen Heap-Überlauf bei der Verarbeitung von JPEG-2000-Bildern mit geringer Bittiefe sowie Unterschieden bei der Auflösung der Komponenten aus.
Forscher der zu Defiant gehörenden Plattform Wordfence entdeckten den Fehler am 23. August mithilfe des KI-gestützten Systems Argus. Den Tests zufolge kann die bösartige Datei Ghostscript dazu zwingen, 1.024 Byte in einen Puffer zu schreiben, der höchstens 256 Byte groß ist. Dies führt zu einer Beschädigung des Speichers und eröffnet unter bestimmten Bedingungen theoretisch den Weg zur Ausführung von Code aus der Ferne ohne Authentifizierung.
Wie hängt der Fehler mit WordPress-Websites zusammen?
WordPress kann das PHP-Plugin Imagick verwenden, um beim Erstellen von Vorschauen oder Miniaturbildern für PDF-Dateien ImageMagick aufzurufen, während ImageMagick für die Darstellung Ghostscript nutzt. Daher kann das Hochladen einer PDF-Datei zum Angriffspunkt werden, wenn der Angreifer die Datei hochladen kann und das System sie automatisch über die betroffene Programmkette verarbeitet.
Wordfence nannte vier wesentliche Voraussetzungen für einen erfolgreichen Exploit in WordPress-Umgebungen: Der Angreifer muss eine PDF-Datei hochladen können, die Datei muss zur Erstellung einer Vorschau verarbeitet werden, die Verarbeitungskette muss Ghostscript erreichen und Richtlinien verwenden, die die Darstellung von PDF-Dateien erlauben, und es muss eine ungepatchte Version der Engine eingesetzt werden. Das Unternehmen erklärte, dass WordPress in seinen Standardeinstellungen keinen anonymen Upload in die Mediathek erlaubt.
Betroffener Umfang und Testergebnisse
Betroffen sind Versionen von Ghostscript 9.21 bis 10.07.1. Die Schwachstelle ist nicht auf WordPress beschränkt: Jede Anwendung, die von Nutzern kontrollierte PDF-Dateien über die betroffenen Versionen darstellt, könnte gefährdet sein. Die Forscher testeten Linux-Umgebungen mit Debian, Ubuntu, Fedora, Alpine und AlmaLinux sowie ein offizielles Docker-Image von WordPress und stellten fest, dass sie alle den schädlichen Code enthielten.
Bei 10.240 Versuchen mit Linux-Paketen in einer Laborumgebung gelang es den beiden Proof-of-Concept-Varianten nicht, Code aus der Ferne auszuführen. Den Forschern gelang die Codeausführung jedoch auf einem eigens für den Test eingerichteten Server. Der Erfolg des Exploits hing außerdem von Anpassungen an Schriftarten, Spracheinstellungen, der Schriftkonfiguration und einer grundlegenden Systembibliothek ab; die Ausführung war nicht immer zuverlässig.
Was sollten Betreiber tun?
Artifex veröffentlichte die Fehlerbehebung am 8. September mit Ghostscript 10.08.0. Die Fehlerbehebungen wurden außerdem auf ältere Versionen zurückportiert. WordPress-Administratoren sollten überprüfen, ob ihr Hosting-Anbieter Version 10.08.0 oder höher einsetzt, und Docker-Images, die auf älteren Basen beruhen, neu erstellen und bereitstellen.
Falls eine Aktualisierung nicht möglich ist, empfehlen die Richtlinien, das Hochladen von PDF-Dateien auf den Server zu blockieren oder die PDF-Darstellung in ImageMagick zu deaktivieren. Bis zum Zeitpunkt der Berichtserstellung erklärte Wordfence, keine Ausnutzung der Schwachstelle bei tatsächlichen Angriffen festgestellt zu haben.
Warum ist diese Nachricht wichtig?
Die Bedeutung des Fehlers liegt darin, dass eine PDF-Datei, die wie eine Eingabe für Inhalte und nicht wie ein Programm erscheint, eine native Komponente erreichen kann, die auf dem Server über Verarbeitungsberechtigungen verfügt. Das Vorhandensein der Schwachstelle bedeutet nicht, dass jede WordPress-Website automatisch kompromittierbar ist, da das Risiko vom Upload- und Verarbeitungsweg, den Richtlinieneinstellungen und der verwendeten Version abhängt. Diese Bedingungen machen die Aktualisierung von Ghostscript und die Deaktivierung des Verarbeitungswegs, falls eine Aktualisierung nicht möglich ist, jedoch zu direkten Maßnahmen zur Verringerung der Angriffsfläche.