TeX代碼可以從不受信任的來源安全執行嗎？

Question

MediaWiki允許將TeX數學代碼嵌入到圖像中併發布到Wiki頁面中。這安全嗎？如果允許不受信任的用戶輸入要在Web服務器上運行的解釋器執行的TeX程序，那麼是否通過使用TeX解釋器從服務器的磁盤讀取文件來打開服務器直至被黑客入侵？有沒有辦法安全地執行不可信的TeX代碼？

Answer 1

顯然TeX能夠通過正常操作打開和寫入文件，這是一個可能的攻擊媒介。執行到sandbox或jail應該照顧。

一定要disable\write18，它允許TeX源文件執行OS命令。沒有理由允許這種機制。

至於TeX解釋器本身，我認爲幾乎沒有什麼可擔心的，因爲它有可能是有史以來寫入的全功能解釋器的最小錯誤數。你的堆棧的其他部分將是一個更大的目標。

Answer 2

理論上，是的。
這取決於你的TeX解釋器。如果在您使用的解釋器中發現安全漏洞，並且安全漏洞意味着用戶可以執行任意代碼，那麼您遇到了問題。

Answer 3

如果您的TeX發行版使用Kpathsea庫（可能的話），請參見the Security section的文檔。