Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] WebKitGTK a WPE WebKit opravujú 2 zraniteľnosti

WebKitGTK a WPE WebKit vo verziách 2.46.4 opravujú 2 zraniteľnosti. Apple eviduje správy o možnom aktívnom zneužívaní na systémoch Mac s procesormi Intel [1][2]. Zraniteľnosti boli tiež zaradené do katalógu známych zneužívaných zraniteľností agentúry CISA [3]. Jednotlivé produkty Apple a ich opravené verzie [4][5]: iOS - 17.7.2, 18.1.1 iPadOS - 17.7.2, 18.1.1 Safari - 18.1.1 visionOS - 2.1.1 macOS Sequoia - 15.1.1 Jednotlivé vydania Debianu (balík webkit2gtk) a opravené verzie produktu [6][7]: bookworm (security) - 2.46.4-1~deb12u1 bullseye (security) - 2.46.4-1~deb11u1 trixie, sid - 2.46.4-1 Pre menej závažnú zraniteľnosť má opravy k dispozícii Red Hat [8]. Druhou zraniteľnosťou systémy nie sú postihnuté alebo oprava nebola vydaná, postihnuté inštalácie systému Red Hat Enterprise Linux 7 však môžu dopady tejto zraniteľnosti zmierniť nastavením premennej prostredia JavaScriptCoreUseJIT na hodnotu 0 [9].

WebKitGTK a WPE WebKit - RCE (CVE-2024-44308)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je umožnené spustiť kód u obete prostredníctvom špeciálne vytvorenej webovej stránky [4].

Zraniteľnosť sa nachádza v produktoch:

  • WebKitGTK; >=2.46, <2.46.4;
  • WPE WebKit; >=2.46, <2.46.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 19. 11. 2024.

WebKitGTK a WPE WebKit - XSS (CVE-2024-44309)
CVSS 6.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať XSS útok prostredníctvom špeciálne vytvorenej webovej stránky [5].

Zraniteľnosť sa nachádza v produktoch:

  • WebKitGTK; >=2.46, <2.46.4;
  • WPE WebKit; >=2.46, <2.46.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Viac informácií:

  • CVE-2024-44309 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 19. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 29. 11. 2024.

CESNET, z.s.p.o. Logo