Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] WebKitGTK a WPE WebKit opravujú 3 zraniteľnosti
WebKitGTK a WPE WebKit vo verziách 2.48.0 opravujú 3 zraniteľnosti [1][2], z toho jednu aktívne zneužívanú [3]. Operačné systémy Apple a ich najnovšie opravené verzie: macOS - 15.3.2 [4], iOS a iPadOS - 18.3.2 [5], Safari - 18.3.1 [6], visionOS - 2.3.2 [7], tvOS - 18.3.1 [8], watchOS - 11.3.1 [9]. Jednotlivé vydania Debianu a opravené verzie produktu [10][11][12]: bookworm (security) - 2.48.0-1~deb12u1 (balík webkit2gtk), trixie, sid - 2.48.0-1 (balíky webkit2gtk a wpewebkit). Pre CVE-2025-24201 má opravy k dispozícii aj Red Hat [13].
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené uniknúť z Web Content sandboxu. Spoločnosť Apple si je vedomá možného aktívneho zneužívania tejto zraniteľnosti v rámci špecificky cielených, vysoko sofistikovaných útokov [1][2][12]. O oprave tejto zraniteľnosti v rámci operačných systémov Apple sme informovali už skôr [13].
Zraniteľnosť sa nachádza v produktoch:
- *:WebKitGTK;<2.48.0;
- *:WPE WebKit;<2.46.7;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-24201 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva prostredníctvom škodlivého webového obsahu umožnené vykonať útok DoS [1][2][14].
Zraniteľnosť sa nachádza v produktoch:
- *:WebKitGTK;<2.48.0;
- *:WPE WebKit;<2.48.0;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-44192 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je v dôsledku chyby v riadení cookies umožnené pomocou sociálneho inžinierstva exfiltrovať dáta naprieč doménami (cross-origin) [1][2][15].
Zraniteľnosť sa nachádza v produktoch:
- *:WebKitGTK;<2.48.0;
- *:WPE WebKit;<2.48.0;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2024-54467 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 3. 2025.
Odkazy
- [1] https://webkitgtk.org/security/WSA-2025-0002.html
- [2] https://wpewebkit.org/security/WSA-2025-0002.html
- [3] https://www.cisa.gov/news-events/alerts/2025/03/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
- [4] https://support.apple.com/en-us/122283
- [5] https://support.apple.com/en-us/122281
- [6] https://support.apple.com/en-us/122285
- [7] https://support.apple.com/en-us/122284
- [8] https://support.apple.com/en-us/100100
- [9] https://security-tracker.debian.org/tracker/CVE-2025-24201
- [10] https://security-tracker.debian.org/tracker/CVE-2024-44192
- [11] https://security-tracker.debian.org/tracker/CVE-2024-54467
- [12] https://access.redhat.com/security/cve/cve-2025-24201
- [13] https://va2am.cesnet.cz/reports/405
- [14] https://nvd.nist.gov/vuln/detail/CVE-2024-44192
- [15] https://nvd.nist.gov/vuln/detail/CVE-2024-54467
Za CESNET, z.s.p.o. Michaela Ručková dňa 24. 3. 2025.