Debian DLA-3419-1:webkit2gtk - LTS 安全更新

high Nessus 插件 ID 175656

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3419 公告中提及的多个漏洞影响。

- Google Chrome 97.0.4692.71 之前版本的导航中存在不当实现问题,远程攻击者可能利用此漏洞,通过构建的 HTML 页面泄露跨源数据。(CVE-2022-0108)

- 已通过改进的状态管理解决此问题。此问题已在 macOS Ventura 13.3、watchOS 9.4、tvOS 16.4、Safari 16.4、iOS 16.4 和 iPadOS 16.4 中修复。处理恶意构建的 Web 内容可能会绕过同源策略 (CVE-2023-27932)

- 已通过删除来源信息解决此问题。此问题已在 macOS Ventura 13.3、watchOS 9.4、tvOS 16.4、iOS 15.7.4 和 iPadOS 15.7.4、Safari 16.4、iOS 16.4 和 iPadOS 16.4 中修复。网站可能会跟踪敏感的用户信息 (CVE-2023-27954)

- 已通过改进的内存管理解决释放后使用问题。此问题已在 macOS Ventura 13.3.1、iOS 16.4.1 和 iPadOS 16.4.1、iOS 15.7.5 和 iPadOS 15.7.5、Safari 16.4.1 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。Apple 从报告中获悉,此问题可能已经被主动利用。(CVE-2023-28205)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级 webkit2gtk 程序包。

对于 Debian 10 buster,已在 2.38.6-0+deb10u1 版本中修复这些问题。

另见

https://security-tracker.debian.org/tracker/source-package/webkit2gtk

https://www.debian.org/lts/security/2023/dla-3419

https://security-tracker.debian.org/tracker/CVE-2022-0108

https://security-tracker.debian.org/tracker/CVE-2022-32885

https://security-tracker.debian.org/tracker/CVE-2023-27932

https://security-tracker.debian.org/tracker/CVE-2023-27954

https://security-tracker.debian.org/tracker/CVE-2023-28205

https://packages.debian.org/source/buster/webkit2gtk

插件详情

严重性: High

ID: 175656

文件名: debian_DLA-3419.nasl

版本: 1.0

类型: local

代理: unix

发布时间: 2023/5/14

最近更新时间: 2023/5/14

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: High

分数: 7.4

CVSS v2

风险因素: Medium

基本分数: 4.3

时间分数: 3.6

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2022-0108

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 8.2

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:F/RL:O/RC:C

CVSS 分数来源: CVE-2023-28205

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:gir1.2-javascriptcoregtk-4.0, p-cpe:/a:debian:debian_linux:gir1.2-webkit2-4.0, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.0-18, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.0-bin, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.0-dev, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-37, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-37-gtk2, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-dev, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-doc, p-cpe:/a:debian:debian_linux:webkit2gtk-driver, cpe:/o:debian:debian_linux:10.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可利用: true

易利用性: Exploits are available

补丁发布日期: 2023/5/12

漏洞发布日期: 2022/1/4

CISA 已知可遭利用的漏洞到期日期: 2023/5/1

参考资料信息

CVE: CVE-2022-0108, CVE-2022-32885, CVE-2023-27932, CVE-2023-27954, CVE-2023-28205