Oracle Linux 6：webkitgtk (ELSA-2011-0177)

critical Nessus 插件 ID 68187

语言：

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

来自 Red Hat 安全公告 2011:0177：

更新后的 webkitgtk 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

WebKitGTK+ 是可移植 Web 渲染引擎 WebKit 到 GTK+ 平台的端口。

已在 WebKit 中发现多个内存损坏缺陷。恶意 Web 内容可导致使用 WebKitGTK+ 的应用程序崩溃，还可以运行该应用程序的用户的权限执行任意代码。（CVE-2010-1782、CVE-2010-1783、CVE-2010-1784、CVE-2010-1785、CVE-2010-1787、CVE-2010-1788、CVE-2010-1790、CVE-2010-1792、CVE-2010-1807、CVE-2010-1814、CVE-2010-3114、CVE-2010-3116、CVE-2010-3119、CVE-2010-3255、CVE-2010-3812、CVE-2010-4198）

已在 WebKit 中发现多种释放后使用缺陷。恶意 Web 内容可导致使用 WebKitGTK+ 的应用程序崩溃，还可以运行该应用程序的用户的权限执行任意代码。（CVE-2010-1780、CVE-2010-1786、CVE-2010-1793、CVE-2010-1812、CVE-2010-1815、CVE-2010-3113、CVE-2010-3257、CVE-2010-4197、CVE-2010-4204）

在 WebKit 中发现两个数组索引错误，导致内存读取越界。恶意 Web 内容可导致使用 WebKitGTK+ 的应用程序崩溃。（CVE-2010-4206、CVE-2010-4577）

WebKit 中的缺陷可允许恶意 Web 内容诱使用户以为他们访问的是由位置栏报告的站点，而该页面的内容实际则由攻击者进行控制。
(CVE-2010-3115)

已发现 WebKit 无法正确限制对通过“canvas”元素创建的图像的读取访问权限。远程攻击者可以通过恶意 Web 内容绕过同源策略，还可以访问敏感图像数据。(CVE-2010-3259)

在 WebKit 处理 DNS 预取的方式中发现一个缺陷。即使已将其禁用，包含某些“link”元素的 Web 内容仍可导致 WebKitGTK+ 执行 DNS 预取。(CVE-2010-3813)

WebKitGTK+ 用户应升级这些更新后的程序包，其中包含 WebKitGTK+ 版本 1.2.6 并解决这些问题。必须重新启动所有使用 WebKitGTK+ 的正在运行的应用程序才能使更新生效。