Lỗ hổng nghiêm trọng CVE-2026-39919 trong Ghostscript: Nguy cơ RCE từ tệp PDF

• Lỗ hổng định danh: CVE-2026-39919 với điểm CVSS 9.8 (Critical).
• Cơ chế lỗi: Heap-based buffer overflow trong quá trình giải mã hình ảnh JPEG 2000.
• Tác động: Cho phép thực thi mã từ xa (RCE) trên các hệ thống xử lý tệp PDF không được kiểm soát.
• Khuyến nghị: Cập nhật Ghostscript lên phiên bản 10.08.0 ngay lập tức.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng bảo mật nghiêm trọng trong Ghostscript, công cụ xử lý tài liệu phổ biến được sử dụng rộng rãi trong các hệ thống quản trị nội dung, cổng thông tin tài liệu và các dịch vụ chuyển đổi tệp tin. Lỗ hổng này, được định danh là CVE-2026-39919, có điểm số CVSS 9.8, phản ánh mức độ nguy hiểm cực cao đối với các hạ tầng máy chủ.

Phân tích kỹ thuật về lỗ hổng CVE-2026-39919

Lỗ hổng CVE-2026-39919 bản chất là một lỗi tràn bộ đệm dựa trên heap (heap-based buffer overflow) nằm trong thành phần giải mã hình ảnh JPEG 2000 của Ghostscript. Sự cố xảy ra khi Ghostscript thực hiện xử lý các tệp PDF có chứa hình ảnh JPEG 2000 được cấu hình với các thiết lập độ phân giải bất thường và các giá trị mẫu sub-byte.

Về mặt kỹ thuật, chương trình cấp phát một vùng nhớ không đủ lớn cho dữ liệu hình ảnh, dẫn đến việc ghi đè dữ liệu vượt quá giới hạn của bộ đệm đã được cấp phát. Dữ liệu dư thừa này có khả năng ghi đè lên các vùng nhớ lân cận mà Ghostscript đang sử dụng. Trong môi trường thử nghiệm, các nhà nghiên cứu đã chứng minh rằng sự hỏng hóc bộ nhớ này có thể được khai thác để đạt được quyền thực thi mã từ xa (RCE) với đặc quyền của người dùng đang chạy tiến trình xử lý tệp (ví dụ: người dùng web server hoặc PHP-FPM).

Chuỗi tấn công và điều kiện kích hoạt

Lỗ hổng này đặc biệt nguy hiểm vì nó có thể bị kích hoạt ngay cả khi ứng dụng chính không trực tiếp gọi mã Ghostscript. Nhiều hệ thống như WordPress, các dịch vụ in ấn, cổng thông tin tài liệu và các API chuyển đổi tệp thường sử dụng chuỗi xử lý: WordPress -> Imagick -> ImageMagick -> Ghostscript. Khi người dùng tải lên một tệp PDF, hệ thống tự động tạo bản xem trước (thumbnail) và vô tình kích hoạt lỗ hổng trong Ghostscript.

⚠️ Cảnh báo quan trọng: Chế độ -dSAFER của Ghostscript không được coi là biện pháp khắc phục triệt để, vì các nhà nghiên cứu đã xác nhận rằng đường dẫn khai thác vẫn có thể bị kích hoạt ngay cả khi thiết lập sandbox này được bật.

Ảnh hưởng và phạm vi rủi ro

Lỗ hổng ảnh hưởng đến các phiên bản Ghostscript trước 10.08.0, với mã nguồn bị lỗi được đưa vào từ phiên bản 9.21. Các nhà nghiên cứu đã xác nhận sự tồn tại của lỗ hổng trên nhiều môi trường hệ điều hành khác nhau bao gồm Debian, Ubuntu, Fedora, AlmaLinux, Alpine Linux và các Docker image chính thức của WordPress.

Hướng dẫn phòng thủ và khắc phục

Để bảo vệ hệ thống trước nguy cơ từ CVE-2026-39919, các quản trị viên hệ thống cần thực hiện các bước sau:

• Cập nhật phần mềm: Nâng cấp Ghostscript lên phiên bản 10.08.0 hoặc phiên bản mới nhất được cung cấp bởi nhà phân phối hệ điều hành (Linux vendor). Lưu ý rằng việc kiểm tra phiên bản qua lệnh gs --version có thể không chính xác nếu nhà phân phối đã backport bản vá vào phiên bản cũ hơn.
• Cấu hình lại container: Đối với các môi trường sử dụng Docker hoặc Kubernetes, cần thực hiện build lại toàn bộ image từ base image đã được cập nhật thay vì chỉ khởi động lại container hiện có.
• Hạn chế tải lên: Nếu chưa thể cập nhật ngay lập tức, hãy tạm thời chặn người dùng tải lên các tệp PDF hoặc vô hiệu hóa tính năng xử lý PDF thông qua chính sách của ImageMagick.
• Giám sát hệ thống: Kiểm tra nhật ký (logs) của web server để phát hiện các hoạt động bất thường liên quan đến việc xử lý tệp PDF hoặc các lỗi chuyển đổi tệp tin đột ngột.

Việc rà soát các dịch vụ xử lý tài liệu và hình ảnh là vô cùng cần thiết trong bối cảnh các thư viện giải mã media thường xuyên trở thành mục tiêu khai thác của kẻ tấn công. Các tổ chức nên tích hợp các nguồn cấp dữ liệu tình báo mối đe dọa (Threat Intelligence Feeds) để cập nhật kịp thời các dấu hiệu tấn công mới nhất.