CVE-2026-39919: Kritisk bufferoverløb i Ghostscript
Kritisk fejl i Ghostscript (CVE-2026-39919) kan give kodeudførelse via en ondsindet PDF. Opdatér til 10.08.0.
Hvad er det?
Ghostscript er et udbredt program og bibliotek, der fortolker og konverterer PostScript- og PDF-filer. Det bruges under motorhjelmen i mange Linux-systemer, printservere, dokumenthåndteringssystemer og webtjenester, der laver om på eller viser PDF-filer. CVE-2026-39919 er en heap-baseret bufferoverløb, en fejl hvor programmet skriver mere data til et hukommelsesområde, end der er afsat plads til. Fejlen sidder i den del af Ghostscript, der håndterer JPEG 2000-billeder inde i PDF-filer. Når et billede har komponenter med forskellige nedskaleringsfaktorer, beregner koden en for lille bufferstørrelse og skriver alligevel fuld byte-bredde pr. kolonne. Det overskriver intern hukommelse, som styrer programmets hukommelsesallokering, og kan udnyttes til at få programmet til at køre angriberens egen kode.
Hvem rammer det?
Alle systemer, der bruger Ghostscript før version 10.08.0, er berørt. Det omfatter mange Linux-distributioner, printsystemer baseret på CUPS, dokumentkonverteringstjenester, arkivsystemer og webapplikationer, der bruger biblioteker som ImageMagick eller GraphicsMagick til at behandle PDF-filer, da disse ofte kalder Ghostscript i baggrunden. Kommuner og virksomheder med selvbetjeningsløsninger, hvor borgere eller kunder kan uploade PDF-filer, bør se det som særligt relevant.
Hvad kan ske?
En angriber sender eller uploader en manipuleret PDF-fil med et JPEG 2000-billede, der er bygget til at udløse fejlen. Så snart Ghostscript behandler filen, kan angriberen få kørt vilkårlig kode på serveren med de rettigheder, processen har. I praksis kan det betyde overtagelse af den server, der håndterer dokumentbehandlingen, adgang til data på serveren og mulighed for at bevæge sig videre ind i netværket.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Sårbarheden kræver hverken login eller brugerhandling: den udløses automatisk, når systemet behandler en ondsindet fil, for eksempel ved upload eller konvertering. Angrebet kan udføres over netværket uden forudgående adgang, og det kræver ikke særlig teknisk snilde at udnytte. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet på offentliggørelsestidspunktet, men den lave kompleksitet og fraværet af krav om brugerinteraktion gør den attraktiv for angribere.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, indtil opdatering er gennemført.
- Opdatér Ghostscript til version 10.08.0 eller nyere på alle servere og systemer, hvor det er installeret, direkte eller som del af andre programmer.
- Kortlæg, hvilke af jeres systemer der bruger Ghostscript indirekte, for eksempel via ImageMagick, GraphicsMagick eller dokumenthåndteringssystemer, og opdatér også dem.
- Begræns, hvem der kan uploade eller sende PDF-filer til systemer, der bruger Ghostscript, indtil opdateringen er på plads.
- Overvåg logfiler for uventede nedbrud eller fejl i processer, der kalder Ghostscript, da det kan være tegn på forsøg på udnyttelse.
- Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan identificere, hvor Ghostscript indgår i jeres systemlandskab, eller hvis opdateringen kræver test af kritiske forretningssystemer.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Ghostscript til version 10.08.0 eller nyere hurtigst muligt, især på systemer der modtager PDF-filer fra eksterne parter. Da sårbarheden kan udnyttes uden login og uden brugerhandling, bør opdateringen prioriteres højt frem for at vente på en fast opdateringsrunde. Det er kun forsvarligt at vente, hvis systemet er helt isoleret fra netværk og ikke modtager filer fra eksterne kilder.
Tidslinje
Konkrete eksempler
Kommunal selvbetjeningsportal
En kommune har en borgerportal, hvor borgere kan uploade PDF-dokumenter, som automatisk konverteres til billeder med Ghostscript til sagsbehandlingssystemet. En angriber uploader en manipuleret PDF med et ondsindet JPEG 2000-billede, hvilket giver kodeudførelse på serveren, der behandler filen. Angriberen får dermed adgang til sagsbehandlingssystemet og de data, det indeholder.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger Ghostscript?
Tjek om Ghostscript er installeret direkte på jeres servere, og spørg leverandører af dokumenthåndtering, printløsninger og billedbehandling, om deres produkter bruger Ghostscript, ImageMagick eller GraphicsMagick i baggrunden. Mange systemer kalder Ghostscript uden at det fremgår tydeligt for brugeren.
Kan vi vente med opdateringen til den planlagte vedligeholdelse i weekenden?
Hvis systemet modtager PDF-filer fra eksterne parter, for eksempel via en webportal eller e-mail, bør I ikke vente. Sårbarheden kræver ingen brugerhandling og kan udnyttes automatisk, så eksponerede systemer bør opdateres uden for normal ændringsplan.
Er vi ramt, hvis vi kun bruger Ghostscript internt til udskrivning?
Ja, hvis printsystemet kan modtage PDF-filer fra brugere eller eksterne kilder. Selv interne systemer er sårbare, hvis en medarbejder kan blive narret til at sende eller åbne en ondsindet fil, der behandles af Ghostscript.
Skal vi anmelde hændelsen til myndighederne?
Sårbarheden i sig selv er ikke anmeldelsespligtig. Bliver I derimod udsat for et konkret angreb, der udnytter fejlen og medfører brud på persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler for databrud.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Begræns adgangen til de systemer, der behandler PDF-filer, og undgå at lade eksterne brugere uploade filer, indtil opdateringen er gennemført. Overvej midlertidigt at afvise PDF-filer med JPEG 2000-billeder, hvis jeres system tillader det.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Ghostscript before 10.08.0 contains a heap-based buffer overflow vulnerability in the JPEG 2000 output adapter (base/sjpx_openjpeg.c) that allows attackers to cause memory corruption by supplying a crafted PDF containing a JPEG 2000 image with mismatched component subsampling factors. When image components declare different subsampling values, the non-samescale sub-byte-depth output path allocates a row buffer sized for packed output but writes a full byte per output column regardless of bit depth, overflowing the allocation and corrupting internal chunk-allocator metadata to achieve code execution.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.