Debian dsa-6398 : gir1.2-javascriptcoregtk-4.1 - セキュリティ更新
high Nessus プラグイン ID 329249
Language:
概要
リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 13 ホストには、dsa-6398 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6398-1 [email protected] https://www.debian.org/security/Alberto Garcia 2026 年 7 月 23 日 https://www.debian.org/security/faq
- -------------------------------------------------------------------------
パッケージ : webkit2gtk CVE ID : CVE-2024-4367 CVE-2026-28847 CVE-2026-28883 CVE-2026-28901 CVE-2026-28902 CVE-2026-28903 CVE-2026-28904 CVE-2026-28905 CVE-2026-28907 CVE-2026-28942 CVE-2026-28946 CVE-2026-28947 CVE-2026-28953 CVE-2026-28955 CVE-2026-28958 CVE-2026-39872 CVE-2026-43658 CVE-2026-43660 CVE-2026-43663 CVE-2026-43676 CVE-2026-43699 CVE-2026-43701 CVE-2026-43705 CVE-2026-43707 CVE-2026-43712 CVE-2026-43713 CVE-2026-43715 CVE-2026-43716 CVE-2026-43720 CVE-2026-43721 CVE-2026-43725 CVE-2026-43726 CVE-2026-43727 CVE-2026-43731 CVE-2026-43732 CVE-2026-43734 CVE-2026-43740 CVE-2026-43742 CVE-2026-43745
WebKitGTK ウェブエンジンに次の脆弱性が発見されました。
CVE-2024-4367
Thomas Rinsma 氏は、PDF.js でフォントを処理する際に、タイプチェックが欠落していたことを発見しました。この欠陥により、PDF.js コンテキストで任意の JavaScript が実行される可能性がありました。
CVE-2026-28847
匿名のリサーチエンジニアである DARKNAVY 氏および Daniel Rhea は、悪質な細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。
CVE-2026-28883
Kwak Kiyong 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28901
Joshua Rogers 氏、Luigino Camastra 氏、Igor Morgenstern 氏、Guido Vranken 氏、Maher Azzouzi 氏、Ngan Nguyen 氏は、悪意のある細工をしたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。
CVE-2026-28902
Tristan Madani 氏および Nathaniel Oh 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28903
Mateusz Krzywicki 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28904
Luka Racki 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28905
Yuhao Hu 氏、Yuanming Lai 氏、Chenggang Wu 氏、Zhe Wang 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28907
Cantina 氏は、悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があることを発見しました。
CVE-2026-28942
Milad Nasr 氏および Nicholas Carlini 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。
CVE-2026-28946
Gia Bui 氏、dr3dd 氏、w0wbox 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。
CVE-2026-28947
dr3dd 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。
CVE-2026-28953
Maher Azzouzi 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28955
wac 氏および Kookhwan Lee 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-28958
Cantina 氏は、アプリが機密性の高いユーザーデータにアクセスできる可能性があることを発見しました。
CVE-2026-39872
Utkarsh Pal 氏および Ignacio Sanmillan 氏により、悪意を持って細工されたウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43658
Do Young Park 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。
CVE-2026-43660
Cantina 氏は、悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があることを発見しました。
CVE-2026-43663
Soyeon Park 氏、Amy Burnett 氏、Khai Tran 氏、sherkito 氏、Kota Toda 氏、HexRabbit 氏、NiNi 氏、Tristan Madani 氏、Brian Carpenter 氏は、悪意のある細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。
CVE-2026-43676
Mateusz Krzywicki 氏、dr3dd 氏、Tommy DeVoss 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43699
Tommy DeVoss 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43701
Aaron Grattafiori 氏は、悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があることを発見しました。
CVE-2026-43705
dr3dd 氏は、悪質な細工されたウェブコンテンツを処理すると、メモリ破損が発生する可能性があることを発見しました。
CVE-2026-43707
Amy Burnett 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43712
Kwak Kiyong 氏、Song Nuri 氏、Tristan Madani 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43713
Jody Ritonga 氏は、ウェブサイトにアクセスすると機密データが漏洩する可能性があることを発見しました。
CVE-2026-43715
Milad Nasr 氏および Nicholas Carlini 氏により、悪意のあるウェブコンテンツを処理することでメモリ破損が発生する可能性があることが発見されました。
CVE-2026-43716
Tuan 氏、Duc 氏、Amy Burnett 氏、Evan Lambert 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43720
Gia Bui 氏、Josef Korbel 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43721
Idan Masas 氏は、悪意のあるウェブサイトがクリップボードのデータを密かにハイジャックできる可能性があることを発見しました。
CVE-2026-43725
Luke Francis 氏は、悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があることを発見しました。
CVE-2026-43726
Josef Korbel 氏、Tristan Madani 氏、Gia Bui 氏、Narendra Singh 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43727
Tommy DeVoss 氏、Gia Bui 氏、Gurpreet Shergill 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43731
dr3dd 氏は、悪質な細工されたウェブコンテンツを処理すると、メモリ破損が発生する可能性があることを発見しました。
CVE-2026-43732
Nan Wang 氏は、悪意を持って細工されたウェブコンテンツを処理すると、ユーザーの秘密情報が漏洩する可能性があることを発見しました。
CVE-2026-43734
Jonathan Alush-Aben 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43740
Nathaniel Oh 氏、Arni Hardarson 氏は、悪意を持って細工されたウェブコンテンツを処理すると、プロセスメモリが漏洩する可能性があることを発見しました。
CVE-2026-43742
Yulia Mertsalova 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
CVE-2026-43745
Amy Burnett 氏および Khai Tran 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。
安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 2.52.5-1~deb13u1 で修正されています。
お使いの webkit2gtk パッケージをアップグレードすることをお勧めします。
webkit2gtk の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
https://security-tracker.debian.org/tracker/webkit2gtk
Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/
メーリングリスト: [email protected]
前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
gir1.2-javascriptcoregtk-4.1 パッケージをアップグレードしてください。参考資料
https://packages.debian.org/source/trixie/webkit2gtk
https://security-tracker.debian.org/tracker/CVE-2024-4367
https://security-tracker.debian.org/tracker/CVE-2026-28847
https://security-tracker.debian.org/tracker/CVE-2026-28883
https://security-tracker.debian.org/tracker/CVE-2026-28901
https://security-tracker.debian.org/tracker/CVE-2026-28902
https://security-tracker.debian.org/tracker/CVE-2026-28903
https://security-tracker.debian.org/tracker/CVE-2026-28904
https://security-tracker.debian.org/tracker/CVE-2026-28905
https://security-tracker.debian.org/tracker/CVE-2026-28907
https://security-tracker.debian.org/tracker/CVE-2026-28942
https://security-tracker.debian.org/tracker/CVE-2026-28946
https://security-tracker.debian.org/tracker/CVE-2026-28947
https://security-tracker.debian.org/tracker/CVE-2026-28953
https://security-tracker.debian.org/tracker/CVE-2026-28955
https://security-tracker.debian.org/tracker/CVE-2026-28958
https://security-tracker.debian.org/tracker/CVE-2026-39872
https://security-tracker.debian.org/tracker/CVE-2026-43658
https://security-tracker.debian.org/tracker/CVE-2026-43660
https://security-tracker.debian.org/tracker/CVE-2026-43663
https://security-tracker.debian.org/tracker/CVE-2026-43676
https://security-tracker.debian.org/tracker/CVE-2026-43699
https://security-tracker.debian.org/tracker/CVE-2026-43701
https://security-tracker.debian.org/tracker/CVE-2026-43705
https://security-tracker.debian.org/tracker/CVE-2026-43707
https://security-tracker.debian.org/tracker/CVE-2026-43712
https://security-tracker.debian.org/tracker/CVE-2026-43713
https://security-tracker.debian.org/tracker/CVE-2026-43715
https://security-tracker.debian.org/tracker/CVE-2026-43716
https://security-tracker.debian.org/tracker/CVE-2026-43720
https://security-tracker.debian.org/tracker/CVE-2026-43721
https://security-tracker.debian.org/tracker/CVE-2026-43725
https://security-tracker.debian.org/tracker/CVE-2026-43726
https://security-tracker.debian.org/tracker/CVE-2026-43727
https://security-tracker.debian.org/tracker/CVE-2026-43731
https://security-tracker.debian.org/tracker/CVE-2026-43732
https://security-tracker.debian.org/tracker/CVE-2026-43734
https://security-tracker.debian.org/tracker/CVE-2026-43740
https://security-tracker.debian.org/tracker/CVE-2026-43742
https://security-tracker.debian.org/tracker/CVE-2026-43745
https://security-tracker.debian.org/tracker/source-package/webkit2gtk
プラグインの詳細
深刻度: High
ID: 329249
ファイル名: debian_DSA-6398.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2026/7/23
更新日: 2026/7/24
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.5
パーセンタイル: 99.86
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-4367
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 8.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:debian:debian_linux:13.0, p-cpe:/a:debian:debian_linux:gir1.2-javascriptcoregtk-4.1, p-cpe:/a:debian:debian_linux:gir1.2-javascriptcoregtk-6.0, p-cpe:/a:debian:debian_linux:gir1.2-webkit-6.0, p-cpe:/a:debian:debian_linux:gir1.2-webkit2-4.1, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.0-bin, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.1-0, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.1-dev, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-6.0-1, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-6.0-dev, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-bin, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-doc, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.1-0, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.1-dev, p-cpe:/a:debian:debian_linux:libwebkitgtk-6.0-4, p-cpe:/a:debian:debian_linux:libwebkitgtk-6.0-dev, p-cpe:/a:debian:debian_linux:libwebkitgtk-doc, p-cpe:/a:debian:debian_linux:webkit2gtk-driver, p-cpe:/a:debian:debian_linux:webkitgtk-webdriver
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/23
脆弱性公開日: 2024/5/7
参照情報
CVE: CVE-2024-4367, CVE-2026-28847, CVE-2026-28883, CVE-2026-28901, CVE-2026-28902, CVE-2026-28903, CVE-2026-28904, CVE-2026-28905, CVE-2026-28907, CVE-2026-28942, CVE-2026-28946, CVE-2026-28947, CVE-2026-28953, CVE-2026-28955, CVE-2026-28958, CVE-2026-39872, CVE-2026-43658, CVE-2026-43660, CVE-2026-43663, CVE-2026-43676, CVE-2026-43699, CVE-2026-43701, CVE-2026-43705, CVE-2026-43707, CVE-2026-43712, CVE-2026-43713, CVE-2026-43715, CVE-2026-43716, CVE-2026-43720, CVE-2026-43721, CVE-2026-43725, CVE-2026-43726, CVE-2026-43727, CVE-2026-43731, CVE-2026-43732, CVE-2026-43734, CVE-2026-43740, CVE-2026-43742, CVE-2026-43745