远程 Debian 13 主机上安装的多个程序包受到 dsa-6398 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6398-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2026 年 7 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：webkit2gtk CVE ID：CVE-2024-4367 CVE-2026-28847 CVE-2026-28883 CVE-2026-28901 CVE-2026-28902 CVE-2026-28903 CVE-2026-28904 CVE-2026-28905 CVE-2026-28907 CVE-2026-28942 CVE-2026-28946 CVE-2026-28947 CVE-2026-28953 CVE-2026-28955 CVE-2026-28958 CVE-2026-39872 CVE-2026-43658 CVE-2026-43660 CVE-2026-43663 CVE-2026-43676 CVE-2026-43699 CVE-2026-43701 CVE-2026-43705 CVE-2026-43707 CVE-2026-43712 CVE-2026-43713 CVE-2026-43715 CVE-2026-43716 CVE-2026-43720 CVE-2026-43721 CVE-2026-43725 CVE-2026-43726 CVE-2026-43727 CVE-2026-43731 CVE-2026-43732 CVE-2026-43734 CVE-2026-43740 CVE-2026-43742 CVE-2026-43745

    在 WebKitGTK Web 引擎中发现以下漏洞:

    CVE-2024-4367

        Thomas Rinsma 发现，在处理 PDF.js 中的字体时，类型检查器中缺少类型检查，这可能在 PDF.js 上下文中执行任意 JavaScript。

    CVE-2026-28847

        DARKNAVY、匿名研究人员和 Daniel Rhea 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28883

        Kwak Kiyong 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28901

        Joshua Rogers、Luigino Camastra、Igor Morgenstern、Guido Vranken、Maher Azzouzi 和 Ngan Nguyen 发现处理恶意制作的 web 内容可能导致意外进程崩溃。

    CVE-2026-28902

        Tristan Madani 和 Nathaniel Oh 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28903

        Mateusz Krzywicki 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28904

        Luka Racki 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28905

        Yuhao Hu、Yuanming Lai、Chenggang Wu 和 Zhe Wang 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28907

        Cantina 发现，处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。

    CVE-2026-28942

        Milad Nasr 和 Nicholas Carlini 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2026-28946

        Gia Bui、dr3dd 和 w0wbox 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2026-28947

        dr3dd 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2026-28953

        Maher Azzouzi 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28955

        wac 和 Kookhwan Lee 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-28958

        Cantina 发现，应用或可访问用户敏感数据。

    CVE-2026-39872

        Utkarsh Pal 和 Ignacio Sanmillan 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43658

        Do Young Park 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2026-43660

        Cantina 发现，处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。

    CVE-2026-43663

        Soyeon Park、Amy Burnett、Khai Tran、sherkito、Kota Toda、HexRabbit、NiNi、Tristan Madani 和 Brian Carpenter 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43676

        Mateusz Krzywicki、dr3dd 和 Tommy DeVoss 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43699

        Tommy DeVoss 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43701

        Aaron Grattafiori 发现，恶意网站可能会在沙盒之外处理受限制的 Web 内容。

    CVE-2026-43705

        dr3dd 发现，处理恶意构建的 Web 内容可能导致内存损坏。

    CVE-2026-43707

        Amy Burnett 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43712

        Kwak Kiyong、Song Nuri 和 Tristan Madani 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43713

        Jody Ritonga 发现，访问网站可能会泄露敏感数据。

    CVE-2026-43715

        Milad Nasr 和 Nicholas Carlini 发现，处理恶意构建的 Web 内容可能导致内存损坏。

    CVE-2026-43716

        Tuan、Duc、Amy Burnett 和 Evan Lambert 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43720

        Gia Bui 和 Josef Korbel 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43721

        Idan Masas 发现，恶意网站可能会无声地劫持剪贴板数据。

    CVE-2026-43725

        Luke Francis 发现，恶意网站可能会在沙盒之外处理受限制的 Web 内容。

    CVE-2026-43726

        Josef Korbel、Tristan Madani、Gia Bui 和 Narendra Singh 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43727

        Tommy DeVoss、Gia Bui 和 Gurpreet Shergill 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43731

        dr3dd 发现，处理恶意构建的 Web 内容可能导致内存损坏。

    CVE-2026-43732

        Nan Wang 发现，处理恶意构建的 Web 内容可能会泄露敏感用户信息。

    CVE-2026-43734

        Jonathan Alush-Aben 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43740

        Nathaniel Oh 和 Arni Hardarson 发现，处理恶意构建的 Web 内容可能导致进程内存泄漏。

    CVE-2026-43742

        Yulia Mertsalova 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2026-43745

        Amy Burnett 和 Khai Tran 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    对于稳定发行版本 (trixie)，已在版本 2.52.5-1~deb13u1 中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dsa-6398：gir1.2-javascriptcoregtk-4.1 - 安全更新

high Nessus 插件 ID 329249

版本 1.2