リモートホストは、セキュリティ更新 2015-006 を適用していないバージョンの Mac OS X 10.8.5 または 10.9.5 を実行しています。したがって、次のコンポーネントの複数の脆弱性による影響を受けます：

- apache
 - apache_mod_php
 - CoreText
 - FontParser
 - Libinfo
 - libxml2
 - OpenSSL
 - perl
 - PostgreSQL
 - QL Office
 - Quartz Composer Framework
 - QuickTime 7
 - SceneKit

注意：最も深刻な問題の悪用が成功すると、任意のコード実行が発生する可能性があります。

リモートの Mac OS X ホストにインストールされている Apple Safari は、 6.2.8 / 7.1.8 / 8.0.8 より前のバージョンです。したがって、次の脆弱性の影響を受けます：

  - 攻撃者が細工された Web ページを使用することで UI 要素を偽装できる、詳細不明の欠陥が存在します。
    （CVE-2015-3729）

  - ユーザー指定入力の不適当な検証により、WebKit に複数の詳細不明なメモリ破損の欠陥が存在します。攻撃者がこれらを悪用して、細工された Web ページを使って任意のコードを実行する可能性があります。（CVE-2015-3730、CVE-2015-3731 CVE-2015-3732、CVE-2015-3733、CVE-2015-3734、CVE-2015-3735、CVE-2015-3736、CVE-2015-3737、CVE-2015-3738、CVE-2015-3739、CVE-2015-3740、CVE-2015-3741、CVE-2015-3742、CVE-2015-3743、CVE-2015-3744、CVE-2015-3745、CVE-2015-3746、CVE-2015-3747、CVE-2015-3748、CVE-2015-3749）

  - WebKit に、Content Security Policy（CSP）レポートリクエストの処理に関連するセキュリティポリシーバイパスの脆弱性が存在します。攻撃者がこれを悪用して、HTTP Strict Transport Securityポリシーをバイパスする可能性があります。（CVE-2015-3750）

  WebKitに、Webサイトがビデオコントロールを使用して、Content Security Policyディレクティブに違反するオブジェクト要素にネスト化された画像をロードすることを可能にする、セキュリティポリシーバイパスの脆弱性が存在します。（CVE-2015-3751）

  - WebKit に、クッキーが Content Security Policyレポートリクエストに追加される方法に関連する、情報漏洩の脆弱性が存在します。これにより、クッキーがクロスオリジンリクエストに露出されます。また、通常のブラウジング中に設定されたクッキーが、プライベートブラウジング中に送信されます。（CVE-2015-3752）

  - WebKit Canvasコンポーネントに、画像がdata:imageリソースへリダイレクトするURLを使って呼び出されたときの、情報漏洩の脆弱性が存在します。攻撃者が、悪意のあるWebサイトを使用してこれを悪用して、画像データのクロスオリジンを漏洩させる可能性があります。（CVE-2015-3753）

  - WebKitページのロードに、プライベートブラウジングモードで入力されたHTTP認証情報のキャッシングが通常のブラウジングにキャリーオーバーされ、ユーザーのプライベートブラウジング履歴が露出する、情報漏洩の脆弱性が存在します。（CVE-2015-3754）

  - WebKitプロセスモデルの欠陥により、悪意のあるWebサイトが任意のURLを表示することが可能になり、ユーザーインターフェイスのなりすましを許してしまう可能性があります。（CVE-2015-3755）

リモートホストが、バージョン 10.10.5 より前の Mac OS X 10.10.x を実行しています。したがって、次のコンポーネントの複数の脆弱性による影響を受けます：

- apache
 - apache_mod_php
 - Apple ID OD Plug-in
 - AppleGraphicsControl
 - Bluetooth
 - bootp
 - CloudKit
 - CoreMedia Playback
 - CoreText
 - curl
 - Data Detectors Engine
 - Date & Time pref pane
 - Dictionary Application
 - DiskImages
 - dyld
 - FontParser
 - groff
 - ImageIO
 - Install Framework Legacy
 - IOFireWireFamily
 - IOGraphics
 - IOHIDFamily
 - Kernel
 - Libc
 - Libinfo
 - libpthread
 - libxml2
 - libxpc
 - mail_cmds
 - Notification Center OSX
 - ntfs
 - OpenSSH
 - OpenSSL
 - perl
 - PostgreSQL
 - python
 - QL Office
 - Quartz Composer Framework
 - Quick Look
 - QuickTime 7
 - SceneKit
 - Security
 - SMBClient
 - Speech UI
 - sudo
 - tcpdump
 - Text Formats
 - udf

注意：最も深刻な問題の悪用が成功すると、任意のコード実行が発生する可能性があります。

webkit2gtk3 のこの更新により、以下の問題が修正されます。

- バージョン 2.10.7 に更新してください：

+ 3.16 より前の GTK+ でのビルドを修正します。

- バージョン 2.10.6 からの変更：

+ Google マップをハングアップさせる Web Worker スレッドに対して、JavaScript ガベージコレクターが実行される際の Web Process におけるデッドロックを修正します。

+ コントロール属性のないメディアコントロール表示を修正します。

+ 多くの DnD 操作を迅速に試行する際の Web Process クラッシュを修正します。

- バージョン 2.10.5 からの変更：

+ プロキシの構成時に DNS プリフェッチを無効にします。

+ その他のブラウザに対応するために、ネットワークの最大同時接続数を削減します。

+ WebKitWebView が常に motion-notify-event シグナルを伝播するようにします。

+ 環境変数を使用する Runtime で、加速コンポジットモードを強制する方法を追加します。

+ GTK+ 3.19 でレンダリングする入力要素とスクロールバーを修正します。

+ 単色を使用する際のラインのレンダリングを修正します。

+ 履歴キャッシュから復元されたページに対してロードが実行される際に、メインリソースの応答がないことに関連する UI プロセスのクラッシュを修正します。

+ カスタム URI スキーム API による大きなコンテンツのロードの際の WebProcess クラッシュを修正します。

+ スクリーンセーバーの DBus プロキシの作成中に WebView が破棄される際の UI プロセスのクラッシュを修正します。

+ 加速コンポジットモードの BadDrawable X エラーによる WebProcess クラッシュを修正します。

+ アドレスの mprotect() がページサイズに合わせて調整されないことによる PPC64 上のクラッシュを修正します。

+ dispatchDecidePolicyForNavigationAction で発生した std::bad_function_call 例外を修正します。

+ データ URL のダウンロードを修正します。

+ ウィンドウ付きプラグインを含むページを閉じる際の Runtime の重要な警告を修正します。

+ いくつかのクラッシュおよびレンダリングの問題を修正します。

+ 翻訳の更新：フランス語、ドイツ語、イタリア語、トルコ語。

+ セキュリティの修正：CVE-2015-7096、CVE-2015-7098

- バージョン 2.10.4 へ更新、主な変更：

+ ネットワークプロセスの新しい HTTP ディスクキャッシュ。

+ 新しい Web Inspector UI。

+ フル画面動画を再生している際の Automatic ScreenServer の抑制。

+ Initial Editor API。

+ パフォーマンス向上。

- この更新は、次のセキュリティの問題に対処します：
CVE-2015-1122、CVE-2015-1152、CVE-2015-1155、CVE-2015-3660、CVE-2015-3730、CVE-2015-3738、CVE-2015-3740、CVE-2015-3742、CVE-2015-3744、CVE-2015-3746、CVE-2015-3750、CVE-2015-3751、CVE-2015-3754、CVE-2015-3755、CVE-2015-5804、CVE-2015-5805、CVE-2015-5807、CVE-2015-5810、CVE-2015-5813、CVE-2015-5814、CVE-2015-5815、CVE-2015-5817、CVE-2015-5818、CVE-2015-5825、CVE-2015-5827、CVE-2015-5828、CVE-2015-5929、CVE-2015-5930、CVE-2015-5931、CVE-2015-7002、CVE-2015-7013、CVE-2015-7014、CVE-2015-7048、CVE-2015-7095、CVE-2015-7097、CVE-2015-7099、CVE-2015-7100、CVE-2015-7102、CVE-2015-7103、CVE-2015-7104

- BuildRequires の追加：ハイフネーションサポートをピックアップするための hyphen-devel。注意：これは壊れた Upstream です。

- -DENABLE_DATABASE_PROCESS=OFF と

-DENABLE_INDEXED_DATABASE=OFF でビルドし、GCC 4.8 で問題を回避します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85409	Mac OS X 複数の脆弱性（セキュリティ更新 2015-006）	Nessus	MacOS X Local Security Checks	2015/8/17	2019/11/22	high
85446	Mac OS X：Apple Safari < 6.2.8 / 7.1.8 / 8.0.8 複数の脆弱性	Nessus	MacOS X Local Security Checks	2015/8/17	2018/7/14	medium
85408	Mac OS X 10.10.x < 10.10.5 の複数の脆弱性	Nessus	MacOS X Local Security Checks	2015/8/17	2018/7/16	high
89950	openSUSE セキュリティ更新：webkit2gtk3（openSUSE-2016-340）	Nessus	SuSE Local Security Checks	2016/3/16	2021/1/19	medium

検出

プラグインの検索

high

medium

high

medium