Debian dsa-6232：gir1.2-javascriptcoregtk-4.1 - 安全更新
medium Nessus 插件 ID 310721
语言：
简介
远程 Debian 主机上缺少一个或多个与安全相关的更新。描述
远程 Debian 13 主机上安装的多个程序包受到 dsa-6232 公告中提及的多个漏洞影响。- ------------------------------------------------------------------------- Debian 安全公告 DSA-6232-1 [email protected] https://www.debian.org/security/Alberto Garcia 2026 年 4 月 28 日 https://www.debian.org/security/faq
- -------------------------------------------------------------------------
程序包：webkit2gtk CVE ID：CVE-2025-46299 CVE-2026-20643 CVE-2026-20664 CVE-2026-20665 CVE-2026-20691 CVE-2026-28857 CVE-2026-28859 CVE-2026-28861 CVE-2026-28871
在 WebKitGTK Web 引擎中发现以下漏洞:
CVE-2025-46299
Google Big Sleep 发现，处理恶意构建的 Web 内容可能会泄露应用程序的内部状态。
CVE-2026-20643
Thomas Espach 发现，处理恶意构建的 Web 内容可能会绕过同源策略。
CVE-2026-20664
Daniel Rhea、Soehnke Benedikt Fischedick、Emrovsky & Switch 和 Yevhen Pervushyn 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃
CVE-2026-20665
webb 发现，处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。
CVE-2026-20691
Gongyu Ma 发现，恶意构建的网页可能会通过指纹识别用户。
CVE-2026-28857
Narcis Oliveras Fontas、Soehnke Benedikt Fischedick、Daniel Rhea 和 Nathaniel Oh 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。
CVE-2026-28859
greenbynox 和 Arni Hardarson 发现，恶意网站可能会在沙盒之外处理受限制的 Web 内容。
CVE-2026-28861
Hongze Wu 和 Shuaike Dong 发现，恶意网站可能会访问原本用于其他来源的脚本消息处理程序。
CVE-2026-28871
@hamayanhamayan 发现，访问恶意构建的网站可能会导致跨站脚本攻击。
自版本 2.52.0 开始，WebKitGTK 无法再向后移植到旧稳定发行版本 (bookworm)。因此，webkit2gtk 程序包不再包含在 bookworm 的安全支持范围内。
对于稳定发行版本 (trixie)，已在版本 2.52.1-1~deb13u1 中修复这些问题。
我们建议您升级 webkit2gtk 程序包。
如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/webkit2gtk
有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/
邮件列表：[email protected]
Tenable 已直接从 Debian 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 gir1.2-javascriptcoregtk-4.1 程序包。另见
https://security-tracker.debian.org/tracker/source-package/webkit2gtk
https://security-tracker.debian.org/tracker/CVE-2025-46299
https://security-tracker.debian.org/tracker/CVE-2026-20643
https://security-tracker.debian.org/tracker/CVE-2026-20664
https://security-tracker.debian.org/tracker/CVE-2026-20665
https://security-tracker.debian.org/tracker/CVE-2026-20691
https://security-tracker.debian.org/tracker/CVE-2026-28857
https://security-tracker.debian.org/tracker/CVE-2026-28859
https://security-tracker.debian.org/tracker/CVE-2026-28861
插件详情
严重性: Medium
ID: 310721
文件名: debian_DSA-6232.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/4/28
最近更新时间: 2026/4/28
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.0
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-28859
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2026-20665
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.0-doc, p-cpe:/a:debian:debian_linux:webkit2gtk-driver, p-cpe:/a:debian:debian_linux:gir1.2-webkit-6.0, p-cpe:/a:debian:debian_linux:gir1.2-webkit2-4.1, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-6.0-1, p-cpe:/a:debian:debian_linux:libwebkitgtk-doc, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.0-bin, p-cpe:/a:debian:debian_linux:gir1.2-javascriptcoregtk-4.1, p-cpe:/a:debian:debian_linux:gir1.2-javascriptcoregtk-6.0, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.1-0, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-4.1-dev, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-6.0-dev, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.1-0, p-cpe:/a:debian:debian_linux:libwebkit2gtk-4.1-dev, p-cpe:/a:debian:debian_linux:libwebkitgtk-6.0-4, p-cpe:/a:debian:debian_linux:libwebkitgtk-6.0-dev, cpe:/o:debian:debian_linux:13.0, p-cpe:/a:debian:debian_linux:libjavascriptcoregtk-bin, p-cpe:/a:debian:debian_linux:webkitgtk-webdriver
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/4/28
漏洞发布日期: 2025/12/15
参考资料信息
CVE: CVE-2025-46299, CVE-2026-20643, CVE-2026-20664, CVE-2026-20665, CVE-2026-20691, CVE-2026-28857, CVE-2026-28859, CVE-2026-28861, CVE-2026-28871