[TLP:CLEAR] WebKitGTK a WPE WebKit opravuje 6 zraniteľností
WebKitGTK a WPE WebKit opravuje 6 zraniteľností vo verzii 2.44.3 [1]. Gentoo zraniteľnosti opravilo v testovacej verzii [9]. Jednotlivé produkty Apple a opravené verzie [2][3][4][5][6][7]: iOS - 16.7.9, 17.6 iPadOS - 16.7.9, 17.6 Safari - 17.6 watchOS - 10.6 tvOS - 17.6 visionOS - 1.3 macOS Sonoma - 14.6 Jednotlivé vydania Debianu (balíček webkit2gtk) a opravené verzie produktu [8]: bookworm - 2.44.2-1~deb12u1 bookworm (security) - 2.44.3-1~deb12u1 trixie, sid - 2.44.3-1
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok u obete zobrazujúcej špeciálne vytvorený web [1].
Zraniteľnosť sa nachádza v produkte:
- WebKitGTK; <2.44.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-40789 na cve.org, NVD
- CWE-248: Uncaught Exception na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 8. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok, poškodenie dát v pamäti alebo vykonávanie kódu u obete zobrazujúcej špeciálne vytvorený web [1][10][6].
Zraniteľnosť sa nachádza v produkte:
- WebKitGTK; <2.44.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-40782 na cve.org, NVD
- CVE-2024-40776 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 8. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať k informáciám alebo vykonať DoS útok u obete zobrazujúcej špeciálne vytvorený web [1][5][4].
Zraniteľnosť sa nachádza v produkte:
- WebKitGTK; <2.44.3;
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-40779 na cve.org, NVD
- CVE-2024-40780 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 8. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok, poškodenie dát v pamäti alebo vykonávanie kódu u obete zobrazujúcej špeciálne vytvorený web [1][7].
Zraniteľnosť sa nachádza v produkte:
- WebKitGTK; <2.44.3;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-4558 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 8. 2024.
Odkazy
- [1] https://webkitgtk.org/security/WSA-2024-0004.html
- [2] https://github.com/advisories/GHSA-6mp9-hrx8-6ffg
- [3] https://github.com/advisories/GHSA-4rw8-cxgp-9r2g
- [4] https://github.com/advisories/GHSA-j573-cwg3-wh35
- [5] https://github.com/advisories/GHSA-7j6x-9hgr-mv7c
- [6] https://github.com/advisories/GHSA-4645-h4xp-pj82
- [7] https://github.com/advisories/GHSA-r4j8-j63p-24j8
- [8] https://security-tracker.debian.org/tracker/source-package/webkit2gtk
- [9] https://packages.gentoo.org/packages/net-libs/webkit-gtk
- [10] https://github.com/advisories/GHSA-6hq7-9r57-p64g
Za CESNET, z.s.p.o. Martin Krajči dňa 2. 9. 2024.