リモートの Debian 13 ホストには、dsa-6398 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6398-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2026 年 7 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : webkit2gtk CVE ID : CVE-2024-4367 CVE-2026-28847 CVE-2026-28883 CVE-2026-28901 CVE-2026-28902 CVE-2026-28903 CVE-2026-28904 CVE-2026-28905 CVE-2026-28907 CVE-2026-28942 CVE-2026-28946 CVE-2026-28947 CVE-2026-28953 CVE-2026-28955 CVE-2026-28958 CVE-2026-39872 CVE-2026-43658 CVE-2026-43660 CVE-2026-43663 CVE-2026-43676 CVE-2026-43699 CVE-2026-43701 CVE-2026-43705 CVE-2026-43707 CVE-2026-43712 CVE-2026-43713 CVE-2026-43715 CVE-2026-43716 CVE-2026-43720 CVE-2026-43721 CVE-2026-43725 CVE-2026-43726 CVE-2026-43727 CVE-2026-43731 CVE-2026-43732 CVE-2026-43734 CVE-2026-43740 CVE-2026-43742 CVE-2026-43745

    WebKitGTK ウェブエンジンに次の脆弱性が発見されました。

    CVE-2024-4367

        Thomas Rinsma 氏は、PDF.js でフォントを処理する際に、タイプチェックが欠落していたことを発見しました。この欠陥により、PDF.js コンテキストで任意の JavaScript が実行される可能性がありました。

    CVE-2026-28847

        匿名のリサーチエンジニアである DARKNAVY 氏および Daniel Rhea は、悪質な細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。

    CVE-2026-28883

        Kwak Kiyong 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28901

        Joshua Rogers 氏、Luigino Camastra 氏、Igor Morgenstern 氏、Guido Vranken 氏、Maher Azzouzi 氏、Ngan Nguyen 氏は、悪意のある細工をしたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。

    CVE-2026-28902

        Tristan Madani 氏および Nathaniel Oh 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28903

        Mateusz Krzywicki 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28904

        Luka Racki 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28905

        Yuhao Hu 氏、Yuanming Lai 氏、Chenggang Wu 氏、Zhe Wang 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28907

        Cantina 氏は、悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があることを発見しました。

    CVE-2026-28942

        Milad Nasr 氏および Nicholas Carlini 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。

    CVE-2026-28946

        Gia Bui 氏、dr3dd 氏、w0wbox 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。

    CVE-2026-28947

        dr3dd 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。

    CVE-2026-28953

        Maher Azzouzi 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28955

        wac 氏および Kookhwan Lee 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-28958

        Cantina 氏は、アプリが機密性の高いユーザーデータにアクセスできる可能性があることを発見しました。

    CVE-2026-39872

        Utkarsh Pal 氏および Ignacio Sanmillan 氏により、悪意を持って細工されたウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43658

        Do Young Park 氏により、悪意のあるウェブコンテンツを処理することで予期しない Safari クラッシュが発生する可能性があることが発見されました。

    CVE-2026-43660

        Cantina 氏は、悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があることを発見しました。

    CVE-2026-43663

        Soyeon Park 氏、Amy Burnett 氏、Khai Tran 氏、sherkito 氏、Kota Toda 氏、HexRabbit 氏、NiNi 氏、Tristan Madani 氏、Brian Carpenter 氏は、悪意のある細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があることを発見しました。

    CVE-2026-43676

        Mateusz Krzywicki 氏、dr3dd 氏、Tommy DeVoss 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43699

        Tommy DeVoss 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43701

        Aaron Grattafiori 氏は、悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があることを発見しました。

    CVE-2026-43705

        dr3dd 氏は、悪質な細工されたウェブコンテンツを処理すると、メモリ破損が発生する可能性があることを発見しました。

    CVE-2026-43707

        Amy Burnett 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43712

        Kwak Kiyong 氏、Song Nuri 氏、Tristan Madani 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43713

        Jody Ritonga 氏は、ウェブサイトにアクセスすると機密データが漏洩する可能性があることを発見しました。

    CVE-2026-43715

        Milad Nasr 氏および Nicholas Carlini 氏により、悪意のあるウェブコンテンツを処理することでメモリ破損が発生する可能性があることが発見されました。

    CVE-2026-43716

        Tuan 氏、Duc 氏、Amy Burnett 氏、Evan Lambert 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43720

        Gia Bui 氏、Josef Korbel 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43721

        Idan Masas 氏は、悪意のあるウェブサイトがクリップボードのデータを密かにハイジャックできる可能性があることを発見しました。

    CVE-2026-43725

        Luke Francis 氏は、悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があることを発見しました。

    CVE-2026-43726

        Josef Korbel 氏、Tristan Madani 氏、Gia Bui 氏、Narendra Singh 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43727

        Tommy DeVoss 氏、Gia Bui 氏、Gurpreet Shergill 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43731

        dr3dd 氏は、悪質な細工されたウェブコンテンツを処理すると、メモリ破損が発生する可能性があることを発見しました。

    CVE-2026-43732

        Nan Wang 氏は、悪意を持って細工されたウェブコンテンツを処理すると、ユーザーの秘密情報が漏洩する可能性があることを発見しました。

    CVE-2026-43734

        Jonathan Alush-Aben 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43740

        Nathaniel Oh 氏、Arni Hardarson 氏は、悪意を持って細工されたウェブコンテンツを処理すると、プロセスメモリが漏洩する可能性があることを発見しました。

    CVE-2026-43742

        Yulia Mertsalova 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    CVE-2026-43745

        Amy Burnett 氏および Khai Tran 氏により、悪意のあるウェブコンテンツを処理することで予期しないプロセスクラッシュが発生する可能性があることが発見されました。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 2.52.5-1~deb13u1 で修正されています。

    お使いの webkit2gtk パッケージをアップグレードすることをお勧めします。

    webkit2gtk の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/webkit2gtk

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dsa-6398 : gir1.2-javascriptcoregtk-4.1 - セキュリティ更新

high Nessus プラグイン ID 329249

バージョン 1.2

バージョン 1.1

バージョン 1.2 Jul 24, 2026, 11:07 AM Exploit attributes ("Exploited by malware" set to "True") Plugin Feed: 202607241107
バージョン 1.1 Jul 24, 2026, 1:35 AM New Plugin Feed: 202607240135