WebKitGTK+ WebエンジンとJavaScriptエンジンでセキュリティの問題が多数発見されました。ユーザーが誘導されて悪意のある Web サイトを閲覧すると、リモートの攻撃者が Web ブラウザのセキュリティに関連するさまざまな問題を悪用して、クロスサイトスクリプティング攻撃やサービス拒否攻撃を仕掛けたり、任意のコードを実行したりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストでMac OS X 10.12.6またはMac OS X 10.13.6が実行されており、セキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。- アプリケーションが制限されたメモリを読み取ることができる可能性があります（CVE-2019-8691、CVE-2019-8692、CVE-2019-8693）- 攻撃者によって制御されているNFSマウント内のエンドポイントへのシンボリックリンクを含むzipファイルを抽出ことで、ゲートキーパーをバイパスする可能性があります（CVE-2019-8656）- リモートの攻撃者が任意のコードを実行できる可能性があります（CVE-2019-8648、CVE-2018-19860、CVE-2019-8661）- リモートの攻撃者がメモリを漏えいできる可能性があります（CVE-2019-8646, CVE-2019-8663）- リモートの攻撃者が、予期しないアプリケーションの終了または任意のコードの実行を引き起こす可能性があります（CVE-2019-8641、CVE-2019-8660）- アプリケーションが、システム権限で任意のコードを実行できる可能性があります（CVE-2019-8695、CVE- 2019-8697）- Sambaにある問題により、攻撃者がサービス間の通信を傍受することで不正なアクションを実行できる可能性があります（CVE-2018-16860）- アプリケーションが、カーネル特権で任意のコードを実行できる可能性があります（CVE-2019-8694）- リモートの攻撃者が秘密情報を表示できる可能性があります（CVE-2019-13118）- 攻撃者は、信頼できないNSDictionaryをデシリアライズするアプリケーションでメモリ解放後使用（Use After Free）をトリガーできる可能性があります（CVE-2019-8662）- 悪意のあるWebサイトにアクセスすると、アドレスバーのなりすましを引き起こす可能性があります（CVE-2019-8670）- Time Machineバックアップの暗号化ステータスが正しくない可能性があります（CVE-2019-8667）- 悪意のある細工されたOfficeドキュメントを解析すると、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性があります（CVE-2019-8657）- 悪意のある細工されたWebコンテンツを処理すると、ユニバーサルクロスサイトスクリプティングにつながる可能性があります（CVE-2019-8649、CVE-2019-8658、CVE-2019-8690）- 悪意のある細工されたWebコンテンツを処理すると任意のコードが実行される可能性があります（CVE-2019-8644、CVE-2019-8666、CVE-2019-8669、CVE-2019-8671、CVE-2019-8672、CVE-2019-8673、CVE-2019-8676、CVE-2019-8677、CVE-2019-8678、CVE-2019-8679、CVE-2019-8680、CVE-2019-8681、CVE-2019-8683、CVE-2019-8684、CVE-2019-8685、CVE-2019-8686、CVE-2019-8687、CVE-2019-8688、CVE-2019-8689）Nessusはこの問題をテストしておらず、代わりにオペレーティングシステムの自己報告されたバージョン番号にのみ依存しています。

このwebkit2gtk3用更新プログラムでは、以下の問題を修正します：

バージョン2.24.4に更新しました（bsc#1148931）。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-8644, CVE-2019-8649, CVE-2019-8658, CVE-2019-8669, CVE-2019-8678, CVE-2019-8680, CVE-2019-8683, CVE-2019-8684, CVE-2019-8688, CVE-2019-8595, CVE-2019-8607, CVE-2019-8615, CVE-2019-8644, CVE-2019-8649, CVE-2019-8658, CVE-2019-8666, CVE-2019-8669, CVE-2019-8671, CVE-2019-8672, CVE-2019-8673, CVE-2019-8676, CVE-2019-8677, CVE-2019-8678, CVE-2019-8679, CVE-2019-8680, CVE-2019-8681, CVE-2019-8683, CVE-2019-8684, CVE-2019-8686, CVE-2019-8687, CVE-2019-8688, CVE-2019-8689, CVE-2019-8690

修正された非セキュリティ問題：マルチメディアストリームのローディングを改善し、過剰なキャッシングによるメモリ枯渇を回避しました。

ユーザーエージェント文字列を更新し、使用されているブラウザが未サポートであると主張する特定のWebサイトを満足できるようにしました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

セキュリティ修正プログラム:

  - webkitgtk: 複数のセキュリティ問題 (CVE-2019-6237、CVE-2019-6251、CVE-2019-8506、CVE-2019-8524、CVE-2019-8535、CVE-2019-8536、CVE-2019-8544、CVE-2019-8551、CVE-2019-8558、CVE-2019-8559、CVE-2019-8563、CVE-2019-8571、CVE-2019-8583、CVE-2019-8584、CVE-2019-8586、CVE-2019-8587、CVE-2019-8594、CVE-2019-8595、CVE-2019-8596、CVE-2019-8597、CVE-2019-8601、CVE-2019-8607、CVE-2019-8608、CVE-2019-8609、CVE-2019-8610、CVE-2019-8611、CVE-2019-8615、CVE-2019-8619、CVE-2019-8622、CVE-2019-8623、CVE-2019-8625、CVE-2019-8644、CVE-2019-8649、CVE-2019-8658、CVE-2019-8666、CVE-2019-8669、CVE-2019-8671、CVE-2019-8672、CVE-2019-8673、CVE-2019-8674、CVE-2019-8676、CVE-2019-8677、CVE-2019-8678、CVE-2019-8679、CVE-2019-8680、CVE-2019-8681、CVE-2019-8683、CVE-2019-8684、CVE-2019-8686、CVE-2019-8687、CVE-2019-8688、CVE-2019-8689、CVE-2019-8690、CVE-2019-8707、CVE-2019-8710、CVE-2019-8719、CVE-2019-8720、CVE-2019-8726、CVE-2019-8733、CVE-2019-8735、CVE-2019-8743、CVE-2019-8763、CVE-2019-8764、CVE-2019-8765、CVE-2019-8766、CVE-2019-8768、CVE-2019-8769、CVE-2019-8771、CVE-2019-8782、CVE-2019-8783、CVE-2019-8808、CVE-2019-8811、CVE-2019-8812、CVE-2019-8813、CVE-2019-8814、CVE-2019-8815、CVE-2019-8816、CVE-2019-8819、CVE-2019-8820、CVE-2019-8821、CVE-2019-8822、CVE-2019-8823、CVE-2019-8835、CVE-2019-8844、CVE-2019-8846、CVE-2019-11070、CVE-2020-3862、CVE-2020-3864、CVE-2020-3865、CVE-2020-3867、CVE-2020-3868、CVE-2020-3885、CVE-2020-3894、CVE-2020-3895、CVE-2020-3897、CVE-2020-3899、CVE-2020-3900、CVE-2020-3901、CVE-2020-3902、CVE-2020-10018、CVE-2020-11793)

リモートCentOS Linux 7ホストにインストールされているパッケージは、CESA-2020: 4035のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - webkitgtk: HTTPプロキシ設定匿名化の情報漏えい（CVE-2019-11070）

  - webkitgtk: 複数のメモリ破損の問題によって、任意のコードが実行される可能性があります（CVE-2019-6237、CVE-2019-8571、CVE-2019-8583、CVE-2019-8584、CVE-2019-8586、CVE-2019-8587、CVE-2019-8594、CVE-2019-8595、CVE-2019-8596、CVE-2019-8597、CVE-2019-8601、CVE-2019-8608、CVE-2019-8609、CVE-2019-8610、CVE-2019-8611、CVE-2019-8615、CVE-2019-8619、CVE-2019-8622、CVE-2019-8623、CVE-2019-8644、CVE-2019-8666、CVE-2019-8669、CVE-2019-8671、CVE-2019-8672、CVE-2019-8673、CVE-2019-8676、CVE-2019-8677、CVE-2019-8678、CVE-2019-8679、CVE-2019-8680、CVE-2019-8681、CVE-2019-8683、CVE-2019-8684、CVE-2019-8686、CVE-2019-8687、CVE-2019-8688、CVE-2019-8689、CVE-2019-8707、CVE-2019-8710、CVE-2019-8720、CVE-2019-8726、CVE-2019-8733、CVE-2019-8735、CVE-2019-8763、CVE-2019-8765、CVE-2019-8766、CVE-2019-8782、CVE-2019-8783、CVE-2019-8808、CVE-2019-8811、CVE-2019-8812、CVE-2019-8814、CVE-2019-8815、CVE-2019-8816、CVE-2019-8819、CVE-2019-8820、CVE-2019-8821、CVE-2019-8822、CVE-2019-8823、CVE-2020-3868）

  - webkitgtk: URIスプーフィングにつながる悪意を持って作成されたWebコンテンツの処理（CVE-2019-6251）

  - webkitgtk: 悪意のあるWebコンテンツにより、任意のコードが実行されます（CVE-2019-8506）

  - webkitgtk: 任意コード実行につながる悪意のあるWebコンテンツ（CVE-2019-8524、CVE-2019-8559、CVE-2019-8563）

  - webkitgtk: 任意コード実行につながる悪意のある細工されたWebコンテンツ（CVE-2019-8535、CVE-2019-8536、CVE-2019-8558）

  - webkitgtk: 任意の私たちのコンテンツにつながる悪意のある細工されたWebコンテンツ（CVE-2019-8544）

  - webkitgtk: クロスサイトスクリプティングにつながる悪意のあるWebコンテンツ（CVE-2019-8551）

  - webkitgtk: メモリ開示につながる領域外読み取り（CVE-2019-8607）

  - webkitgtk: ユニバーサルクロスサイトスクリプティングを引き起こす不適切な状態管理（CVE-2019-8625、CVE-2019-8649、CVE-2019-8658、CVE-2019-8674、CVE-2019-8690、CVE-2019-8719、CVE-2019-8813、CVE-2020-3867）

  - webkitgtk: 複数のメモリ破損の問題によって、任意のコードが実行される可能性があります（CVE-2019-8743）

  - webkitgtk: ユニバーサルクロスサイトスクリプティングを引き起こす不適切な状態管理（CVE-2019-8764）

  - webkitgtk: 閲覧履歴を削除できませんでした（CVE-2019-8768）

  - webkitgtk: Webサイトは閲覧履歴を漏洩する可能性があります（CVE-2019-8769）

  - webkitgtk: iframeサンドボックスポリシーの違反（CVE-2019-8771）

  - webkitgtk: 悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります（CVE-2019-8835、CVE-2019-8844）

  - webkitgtk: メモリ解放後使用（Use After Free）の問題により、リモートでコードが実行される可能性があります（CVE-2019-8846）

  - webkitgtk: accessibility/AXObjectCache.cppのメモリ解放後使用（Use After Free）の問題（CVE-2020-10018）

  - webkitgtk: 細工されたWebコンテンツによるメモリ解放後使用（Use After Free）（CVE-2020-11793）

  - webkitgtk: 不適切なメモリ処理によるサービス拒否（CVE-2020-3862）

  - webkitgtk: DOMオブジェクトコンテキストの一意でないセキュリティ生成元（CVE-2020-3864）

  - webkitgtk: トップレベルのDOMオブジェクトコンテキストの不適切なセキュリティチェック（CVE-2020-3865）

  - webkitgtk: ファイルURLの不適切な処理（CVE-2020-3885）

  - webkitgtk: 競合状態により、制限されたメモリの読み取りが可能になります（CVE-2020-3894）

  - webkitgtk: 悪意のあるWebコンテンツによってトリガされたメモリ破損（CVE-2020-3895）

  - webkitgtk: 型の取り違えが任意のコード実行を引き起こす可能性があります（CVE-2020-3897、CVE-2020-3901）

  - webkitgtk: メモリ消費の問題によって、任意のコードが実行される可能性があります（CVE-2020-3899）

  - webkitgtk: 悪意のあるWebコンテンツによってトリガされたメモリ破損（CVE-2020-3900）

  - webkitgtk: クロスサイトスクリプト攻撃につながる入力検証の問題（CVE-2020-3902）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
128755	Ubuntu 18.04 LTS : WebKitGTK+の脆弱性 (USN-4130-1)	Nessus	Ubuntu Local Security Checks	9/12/2019	10/20/2023	high
127055	macOSおよびMac OS Xの複数の脆弱性（セキュリティ更新プログラム2019-004）	Nessus	MacOS X Local Security Checks	7/26/2019	5/28/2024	critical
129844	SUSE SLES12セキュリティ更新プログラム：webkit2gtk3 (SUSE-SU-2019:2345-2)	Nessus	SuSE Local Security Checks	10/14/2019	1/29/2021	high
142737	Amazon Linux 2: webkitgtk4 (ALAS-2020-1563)	Nessus	Amazon Linux Local Security Checks	11/11/2020	5/25/2022	critical
141759	Scientific Linux セキュリティ更新: SL7.x x86_64のwebkitgtk4 (20201001)	Nessus	Scientific Linux Local Security Checks	10/21/2020	2/14/2024	critical
143288	CentOS 7: webkitgtk4（CESA-2020: 4035）	Nessus	CentOS Local Security Checks	11/30/2020	5/25/2022	critical

Detections

Analytics

Plugins Search

high

critical

high

critical

critical

critical