Ghostscript faille 9.8 : votre serveur PDF est-il exposé ?
La semaine dernière, un client m’appelle en panique. Son site WordPress tournait au ralenti, son hébergeur lui envoyait des mails pas très sympas, et il ne comprenait pas pourquoi. Trois heures plus tard, j’avais la réponse : un PDF piégé avait été uploadé sur son formulaire de contact, et le serveur s’amusait gentiment à exécuter du code qu’il n’aurait jamais dû exécuter. La faille ghostscript venait de lui coûter un week-end. Et croyez-moi, il n’est pas le seul dans ce cas.
Wordfence a mis le doigt sur un truc noté 9,8 sur 10. Autant dire que ce n’est pas une petite broutille de rien du tout. Sauf que — et c’est là que ça devient intéressant — il faut quatre conditions réunies pour être réellement touché. Quatre. Pas une, pas deux. Quatre. Du coup, avant de courir acheter un nouveau serveur chez OVH, on va prendre cinq minutes pour regarder ensemble si vous êtes vraiment dans la mouise ou pas.
La faille ghostscript en 9.8 : de quoi on parle exactement ?
Ghostscript, pour ceux qui ne connaissent pas, c’est ce petit logiciel qui traîne un peu partout sans qu’on le sache. Il interprète le PostScript et le PDF. C’est lui qui fait tourner les aperçus de documents, les conversions, les impressions. Bref, un truc invisible mais absolument partout. Sur votre serveur Linux, il y a de grandes chances qu’il soit installé. Mine de rien, ça fait quinze ans que je le croise dans des configs où personne ne se souvient l’avoir installé.
La vulnérabilité, elle, permet à un attaquant d’exécuter du code arbitraire via un PDF spécialement conçu. Traduction pour les non-techniciens : quelqu’un vous envoie un fichier qui a l’air tout bête, votre serveur l’ouvre pour faire un aperçu, et paf — le type peut lancer ce qu’il veut derrière. C’est le genre de faille qui donne des sueurs froides à n’importe quel admin un peu paranoïaque. À raison, d’ailleurs.
Pour être honnête, ce n’est pas la première fois que Ghostscript se fait trouer. J’ai vu passer au moins trois CVE similaires ces cinq dernières années. À chaque fois, on patch, on oublie, et six mois plus tard quelqu’un remet le couvert. Ce n’est pas de la malveillance de ma part, c’est juste un constat d’atelier : ce composant est vieux, complexe, et il traîne sur des serveurs que plus personne ne maintient depuis 2019.
Les quatre conditions pour être vraiment exposé (spoiler : vous ne l’êtes peut-être pas)
Alors voilà le truc que les titres alarmistes oublient de préciser. Pour être touché, il faut que quatre conditions soient réunies simultanément. Si une seule manque, vous pouvez respirer. Je vais les lister, parce qu’elles valent leur pesant de cacahuètes :
- Ghostscript doit être installé sur la machine qui traite le PDF.
- Une application doit accepter des PDF venus de l’extérieur (formulaire d’upload, plugin de traitement d’images, générateur de vignettes, etc.).
- Cette application doit appeler Ghostscript pour traiter ledit PDF, sans sandbox ni restriction.
- Le serveur doit être exposé — pas juste en local, mais accessible depuis Internet.
Vous voyez où je veux en venir ? Sur un bon paquet de serveurs, Ghostscript est installé par défaut mais jamais appelé par l’appli web. Dans ce cas, la faille dort tranquillement sans faire de mal. Du coup, avant de paniquer, vérifiez qui appelle Ghostscript chez vous. Une simple recherche dans les logs ou dans le code de vos plugins peut vous éviter une nuit blanche.
Je ne suis pas certain à 100 %, mais d’après mon expérience en atelier, la majorité des petites installs WordPress + hébergement mutualisé ne sont pas dans la config à risque. Par contre, dès qu’on a un plugin type « aperçu PDF automatique » ou un truc qui génère des miniatures de documents, là ça devient sérieux. Et croyez-moi, ce genre de plugin, j’en vois partout.
Quelles distributions sont encore à poil ?
C’est là que ça pique un peu. Le correctif est sorti, mais tout le monde n’a pas encore poussé la mise à jour. Et autant dire que le rythme des distributions n’est pas exactement celui d’un sprint olympique. Voici un état des lieux honnête, celui que j’ai reconstitué en croisant mes propres serveurs et les retours de quelques confrères :
- Debian : correctif dispo en stable, mais il faut penser à faire un apt update && apt upgrade. Si vous ne l’avez pas fait ce mois-ci, vous êtes probablement en retard.
- Ubuntu : version LTS patchée, mais les versions intermédiaires traînent parfois des pieds. Vérifiez la votre.
- CentOS / AlmaLinux / Rocky : le patch est dans les dépôts mais pas toujours dans le canal par défaut. Il faut aller le chercher.
- Alpine : patché rapidement, comme d’habitude, les mecs d’Alpine font le boulot.
- Windows avec Ghostscript installé : là, évidemment, c’est le far west. La MAJ existe mais l’installeur ne prévient personne. Évidemment, Windows a encore tout cassé avec sa MAJ silencieuse qui n’installe que ce qu’elle veut.
Le vrai problème, ce n’est pas le patch lui-même. C’est qu’il faut aller le chercher. Sur une distrib serveur un peu ancienne, si vous ne faites pas l’effort, rien ne se passera. Pas de notification, pas d’alerte, pas de mail. Le serveur tourne, la faille aussi, et vous dormez tranquille en pensant que tout va bien. J’ai vu cette situation des dizaines de fois. C’est exactement comme ça qu’un client se retrouve avec un site transformé en ferme à cryptomining un lundi matin.
La parade en attendant : ce que je fais chez mes clients
Alors, concrètement, qu’est-ce qu’on fait ? Parce que râler c’est bien, agir c’est mieux. Voici ce que je mets en place systématiquement depuis que cette faille est sortie, et ce que je recommande à quiconque gère un serveur un tant soit peu exposé.
Première chose : si vous n’avez pas besoin de Ghostscript sur le serveur web, désinstallez-le. C’est radical, mais c’est efficace. La meilleure manière de ne pas être vulnérable à une faille, c’est de ne pas avoir le logiciel installé. Histoire de faire simple.
Deuxième chose : si vous en avez besoin, isolez-le. Un conteneur dédié, un utilisateur système avec le minimum de droits, pas d’accès au reste du serveur. Ça ne supprime pas la faille mais ça limite vachement la casse en cas d’exploitation. J’ai mis ça en place chez un client qui génère des milliers d’aperçus PDF par jour, et clairement, ça change la donne niveau sérénité.
Troisième chose : filtrez les PDF entrants. Bloquez les uploads inutiles, vérifiez les types MIME, imposez une taille maximale. Ce n’est pas parfait — un PDF piégé peut passer pour un PDF légitime — mais ça réduit déjà la surface d’attaque. Et puis ça évite aussi les petits malins qui s’amusent à balancer 200 Mo de fichiers pour faire tomber votre serveur.
Quatrième chose : surveillez les processus. Un Ghostscript qui tourne à 100 % du CPU sans raison, c’est un signal d’alerte. J’ai attrapé deux compromissions comme ça, juste en regardant top au bon moment. Mine de rien, les vieux réflexes d’admin, ça sauve.
Mon avis tranché sur la gestion de cette faille ghostscript
Je vais être direct : la manière dont cette faille est traitée par la plupart des hébergeurs me sort par les yeux. On parle d’un composant critique, noté 9,8, et j’ai encore des clients dont l’hébergeur n’a rien communiqué trois semaines après la sortie du patch. Pas un mail, pas un message dans le panneau d’admin. Rien. Du coup, si vous êtes chez un mutualisé et que vous ne savez pas si Ghostscript est patché, considérez que la réponse est non jusqu’à preuve du contraire.
Mon conseil : appelez-les. Envoyez un ticket. Demandez explicitement si Ghostscript a été mis à jour sur votre mutualisation. Si la réponse est vague, changez d’hébergeur. Ce n’est pas une posture de puriste, c’est du pragmatisme de terrain. Un hébergeur qui ne patche pas une 9,8 ne vous préviendra pas non plus quand vos données seront dans la nature.
Et pour ceux qui gèrent leur propre serveur : mettez en place un vrai système de veille sécurité. Pas juste un apt upgrade une fois par trimestre quand vous y pensez. Des alertes CVE, un peu d’automatisation, un check mensuel. Ce n’est pas glamour, mais c’est exactement ce qui sépare les serveurs qui tiennent de ceux qui finissent en botnet.
Pour aller plus loin sur les détails techniques et la liste précise des versions concernées, je vous renvoie à l’article original de Korben, qui a fait le boulot de synthèse mieux que la plupart des communiqués officiels : Ghostscript – L’aperçu des PDF peut mettre à mal votre serveur.
Source : article original
