Исходное сообщение
"В Ghostscript выявлены две новые критические уязвимости" Отправлено kai3341, 12-Окт-18 03:59
> Казалось бы, ну каким альтернативноодаренным надо быть, чтобы всунуть неотключаемое автомагическое разспознавание "по содержимому" в специфический инструмент, совершенно не предназначенный для альтернативно-одаренных? Я хочу сыграть с тобой в одну игру. У меня к тебе 2 вопроса: 1) Какое именно приложение и при каких условиях инициирует атаку? 2) Как это приложение настроить, чтобы не инициировать атаку? Не ответишь на них правильно -- альтернативно-одаренным назначим тебя. Время пошло Другое дело, что встраивание в сам ghostscript возможности выполнить любую команду -- это очень странно. Для pdflatex такое поведение включается специальным флагом и по умолчанию выключено Я понимаю желание сделать универсальный продукт. И понимаю, что по неопытности можно не понять, как `фича` превращается в дырищу (например, SQL injection -- классика). Но как этот код прошёл review? Также я понимаю желание разработчиков DE и imagemagic объединить как можно больше инструментов. Это правильно. И с их стороны косяка нет -- с их стороны всё работает штатно