Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] WebKitGTK a WPE WebKit opravujú 6 zraniteľností

WebKitGTK a WPE WebKit vo verzii 2.48.2 opravujú 6 zraniteľností. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete na [1][2]. Produkty Apple a ich najnovšie opravené verzie: macOS - 13.7.6 [3], 14.7.6 [4], 15.5 [5] iOS - 18.5 [6] iPadOS - 17.7.7 [7], 18.5 [6] watchOS - 11.5 [8] tvOS - 18.5 [9] visionOS - 2.5 [10] Safari - 18.5 [11]

WebKitGTK a WPE WebKit - poškodenie pamäte (CVE-2025-31204)
CVSS 7.1 (High)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené poškodiť pamäť pri spracovaní škodlivého webového obsahu [1][2]. O oprave tejto zraniteľnosti v rámci operačných systémov Apple sme informovali už skôr [12].

Zraniteľnosť sa nachádza v produktoch:

  • *:WebKitGTK;<2.48.2;
  • *:WPE WebKit;<2.48.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Viac informácií:

  • CVE-2025-31204 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

WebKitGTK a WPE WebKit - poškodenie pamäte (CVE-2025-24223)
CVSS 7.1 (High)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené poškodiť pamäť pri spracovaní škodlivého webového obsahu [1][2].

Zraniteľnosť sa nachádza v produktoch:

  • *:WebKitGTK;<2.48.2;
  • *:WPE WebKit;<2.48.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Viac informácií:

  • CVE-2025-24223 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

WebKitGTK a WPE WebKit - exfiltrácia dát (CVE-2025-31205)
CVSS 6.5 (Medium)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené neoprávnene exfiltrovať dáta z inej domény (cross-origin) [1][2].

Zraniteľnosť sa nachádza v produktoch:

  • *:WebKitGTK;<2.48.2;
  • *:WPE WebKit;<2.48.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

WebKitGTK a WPE WebKit - DoS (CVE-2025-31215)
CVSS 6.5 (Medium)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať útok DoS [1][2].

Zraniteľnosť sa nachádza v produktoch:

  • *:WebKitGTK;<2.48.2;
  • *:WPE WebKit;<2.48.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 19. 5. 2025.

CESNET, z.s.p.o. Logo