Simon McVittie 发现，Debian jessie 中的 glib2.0 解决 CVE-2019-13012 的方式中存在内存泄露回归。对于 Debian 8“Jessie”，此问题已在 2.42.1-1~deb8u3 版本中修复。我们建议您升级 glib2.0 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021:1586 公告中提及的多个漏洞的影响。

  - glib2：不安全的文件和目录权限 (CVE-2019-13012)

  - webkitgtk：类型混淆可能导致任意代码执行 (CVE-2020-9948)

  - webkitgtk：释放后使用可能导致任意代码执行（CVE-2020-13543、CVE-2020-13584、CVE-2020-9951）

  - webkitgtk：越界写入可能导致代码执行 (CVE-2020-9983)

  - gdm：无法通过 dbus 及时联系 accountservice，可导致 gnome-initial-setup 创建具有管理员权限的帐户 (CVE-2020-16125)

  - webkitgtk：内存损坏可导致任意代码执行 (CVE-2021-1817)

  - webkitgtk：内存初始化问题可能导致内存泄露 (CVE-2021-1820)

  - webkitgtk：输入验证问题可导致跨站脚本攻击 (CVE-2021-1825)

  - webkitgtk：逻辑问题可导致通用跨站脚本攻击 (CVE-2021-1826)

  - webkitgtk：释放后使用可导致任意代码执行 (CVE-2021-30661)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2021: 1586 公告中提及的多个漏洞影响。

  - glib2：不安全的文件和目录权限 (CVE-2019-13012)

  - webkitgtk：释放后使用可能导致应用程序终止或任意代码执行（CVE-2020-13543、CVE-2020-13584、CVE-2020-9951）

  - webkitgtk：类型混淆可导致任意代码执行 (CVE-2020-9948)

  - webkitgtk：越界写入可能导致代码执行 (CVE-2020-9983)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

据发现，GLib 建立了目录和文件，却没有适当限制权限。攻击者可能利用此问题访问敏感信息。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2021-2176:01 公告中提及的多个漏洞的影响。

    * webkitgtk：类型混淆可能导致任意代码执行 (CVE-2020-9948)
      * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-9951)
      * webkitgtk：越界写入问题可能导致代码执行攻击 (CVE-2020-9983)
      * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-13543)
      * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-13584)
      * glib2文件和目录的不安全权限 (CVE-2019-13012)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 glib2 版本低于 2.36.3-5.23。因此，如公告 ALAS-2023-1742 所述，该主机受到多个漏洞的影响。

  - 在 GNOME GLib 2.56.1 版中，gmarkup.c 中的 g_markup_parse_context_end_parse() 存在空指针取消引用漏洞。
    (CVE-2018-16428)

  - GNOME GLib 2.56.1 版在 gmarkup.c 的 g_markup_parse_context_parse() 中存在一个与 utf8_str() 相关的越界读取漏洞。(CVE-2018-16429)

  - 在 2.60.0 之前的 GNOME GLib（也称为 glib2.0）中，密钥文件设置后端使用 g_file_make_directory_with_parents (kfsb->dir, NULL, NULL) 创建目录，并使用 g_file_replace_contents (kfsb->file, contents, length, NULL, FALSE, G_FILE_CREATE_REPLACE_DESTINATION, NULL, NULL, NULL) 创建文件。
    因此，该后端无法正确限制目录（和文件）权限。相反，对于目录，后端会使用 0777 权限；对于文件，则使用默认的文件权限。此问题类似于 CVE-2019-12450。(CVE-2019-13012)

  - 在 2.66.8 之前的 GNOME GLib 中发现一个问题。当与 G_FILE_CREATE_REPLACE_DESTINATION 一起使用以替换作为悬摆符号链接的路径时，g_file_replace() 也会错误地将符号链接的目标创建为空文件，如果符号链接受到攻击者控制，这可能会产生重大安全影响。（如果路径是指向已存在文件的符号链接，则该文件的内容会正确地保持不变。）(CVE-2021-28153)

  - 低于 glib 2.63.6 之前的版本中发现一个缺陷。由于随机字符集别名，pkexec 可在正确的条件下将特权用户拥有的文件内容泄漏给非特权用户。 (CVE-2021-3800)

  - 在 GNOME GLib 2.56.1 版中，gmarkup.c 中的 g_markup_parse_context_end_parse() 存在空指针取消引用漏洞。
    (CVE-2018-16428) (CVE-2023-24593, CVE-2023-25180)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到 ALSA-2021:1586 公告中提及的多个漏洞的影响。

  - 在 2.60.0 之前的 GNOME GLib（也称为 glib2.0）中，密钥文件设置后端使用 g_file_make_directory_with_parents (kfsb->dir, NULL, NULL) 创建目录，并使用 g_file_replace_contents (kfsb->file, contents, length, NULL, FALSE, G_FILE_CREATE_REPLACE_DESTINATION, NULL, NULL, NULL) 创建文件。
    因此，该后端无法正确限制目录（和文件）权限。相反，对于目录，后端会使用 0777 权限；对于文件，则使用默认的文件权限。此问题类似于 CVE-2019-12450。(CVE-2019-13012)

  - 已通过改进的内存处理解决类型混淆问题。此问题已在 Safari 14.0 中修复。
    处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9948)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.0 中修复。
    - 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9951)

  - 已通过改进的边界检查解决越界写入问题。此问题已在 Safari 14.0 中修复。处理恶意构建的 Web 内容可能会导致代码执行。(CVE-2020-9983)

  - Webkit WebKitGTK 2.30.0 的 WebSocket 功能中存在一个代码执行漏洞。特别构建的网页可触发释放后使用漏洞，而该漏洞可导致远程代码执行。攻击者可让用户访问网页来触发此漏洞。(CVE-2020-13543)

  - WebKitGTK 浏览器版本 2.30.1 x64 中存在可利用的释放后使用漏洞。特别构建的 HTML 网页可导致释放后使用情况，从而导致远程代码执行。受害者需要访问恶意网站以触发此漏洞。(CVE-2020-13584)

  - 如果 gdm3 无法通过 dbus 及时联系 accountservice 服务则 3.36.2 或 3.38.2 之前的 gdm3 版本将启动 gnome-initial-setup在 Ubuntu 上这可能与允许本地用户创建新的特权帐户的其他问题相关。
    (CVE-2020-16125)

  - 已通过改进的状态管理解决内存损坏问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2021-1817)

  - 已通过改进内存处理解决内存初始化问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能导致进程内存泄漏。(CVE-2021-1820)

  - 已通过改进的输入验证解决输入验证问题。此问题已在 Windows 版 iTunes 12.11.3、Windows 12.3 版 iCloud、macOS Big Sur 11.3、Safari 14.1、watchOS 7.4、tvOS 14.5、iOS 14.5 和 iPadOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致跨站脚本攻击。(CVE-2021-1825)

  - 已通过改进限制解决逻辑问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2021-1826)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.1、iOS 12.5.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5、macOS Big Sur 11.3 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。Apple 从报告中获悉，此问题可能已经被主动利用。(CVE-2021-30661)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2021:1586 中提及的多个漏洞的影响。

  - 已通过改进的状态管理解决内存损坏问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2021-1817)

  - 已通过改进内存处理解决内存初始化问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能导致进程内存泄漏。(CVE-2021-1820)

  - 已通过改进的输入验证解决输入验证问题。此问题已在 Windows 版 iTunes 12.11.3、Windows 12.3 版 iCloud、macOS Big Sur 11.3、Safari 14.1、watchOS 7.4、tvOS 14.5、iOS 14.5 和 iPadOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致跨站脚本攻击。(CVE-2021-1825)

  - 已通过改进限制解决逻辑问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2021-1826)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.1、iOS 12.5.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5、macOS Big Sur 11.3 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。Apple 从报告中获悉，此问题可能已经被主动利用。(CVE-2021-30661)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2021_1586 公告中提及的多个漏洞的影响。

    * webkitgtk：类型混淆可能导致任意代码执行 (CVE-2020-9948)

    * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-9951)

    * webkitgtk：越界写入问题可能导致代码执行攻击 (CVE-2020-9983)

    * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-13543)

    * webkitgtk：释放后使用问题可能导致任意代码执行攻击 (CVE-2020-13584)

    * glib2：文件和目录的不安全权限 （CVE-2019-13012）

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CentOS Linux 6 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS6：CLSA-2026：2026：1776346717公告中提及的多个漏洞的影响。

  - 在 GNOME GLib 2.15.0 到 2.61.1 的 gio/gfile.c 中，file_copy_fallback 在复制操作进行时，未正确限制文件权限 。相反，系统会使用默认权限。(CVE-2019-12450)

  - 在 2.60.0 之前的 GNOME GLib（也称为 glib2.0）中，密钥文件设置后端使用 g_file_make_directory_with_parents (kfsb->dir, NULL, NULL) 创建目录，并使用 g_file_replace_contents (kfsb->file, contents, length, NULL, FALSE, G_FILE_CREATE_REPLACE_DESTINATION, NULL, NULL, NULL) 创建文件。
    因此，该后端无法正确限制目录（和文件）权限。相反，对于目录，后端会使用 0777 权限；对于文件，则使用默认的文件权限。此问题类似于 CVE-2019-12450。(CVE-2019-13012)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8.6 主机上安装的多个程序包受到 CIQ ciqsa-2026_0054 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ LTS 8.6中 glib2 SRPM 的安全补丁。它解决了 8 个 CVE：
    CVE-2021-28153、 CVE-2019-13012、 CVE-2021-27219、 CVE-2024-52533和 CVE-2025-43733 个。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-1586 公告中提及的多个漏洞的影响。

  - Webkit WebKitGTK 2.30.0 的 WebSocket 功能中存在一个代码执行漏洞。特别构建的网页可触发释放后使用漏洞，而该漏洞可导致远程代码执行。攻击者可让用户访问网页来触发此漏洞。(CVE-2020-13543)

  - WebKitGTK 浏览器版本 2.30.1 x64 中存在可利用的释放后使用漏洞。特别构建的 HTML 网页可导致释放后使用情况，从而导致远程代码执行。受害者需要访问恶意网站以触发此漏洞。(CVE-2020-13584)

  - 在 2.60.0 之前的 GNOME GLib（也称为 glib2.0）中，密钥文件设置后端使用 g_file_make_directory_with_parents (kfsb->dir, NULL, NULL) 创建目录，并使用 g_file_replace_contents (kfsb->file, contents, length, NULL, FALSE, G_FILE_CREATE_REPLACE_DESTINATION, NULL, NULL, NULL) 创建文件。
    因此，该后端无法正确限制目录（和文件）权限。相反，对于目录，后端会使用 0777 权限；对于文件，则使用默认的文件权限。此问题类似于 CVE-2019-12450。(CVE-2019-13012)

  - 已通过改进的内存处理解决类型混淆问题。此问题已在 Safari 14.0 中修复。
    - 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9948)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.0 中修复。
    - 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9951)

  - 已通过改进的边界检查解决越界写入问题。此问题已在 Safari 14.0 中修复。处理恶意构建的 Web 内容可能会导致代码执行。(CVE-2020-9983)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
127475	Debian DLA-1866-2：glib2.0 回归更新	Nessus	Debian Local Security Checks	2019/8/12	2024/5/7	high
149698	RHEL 8 : GNOME (RHSA-2021:1586)	Nessus	Red Hat Local Security Checks	2021/5/19	2025/3/19	high
149741	CentOS 8：GNOME (CESA-2021: 1586)	Nessus	CentOS Local Security Checks	2021/5/19	2024/1/1	high
126565	Ubuntu 16.04 LTS / 18.04 LTS：GLib 漏洞 (USN-4049-1)	Nessus	Ubuntu Local Security Checks	2019/7/9	2024/8/28	high
291643	MagicLinux 8GNOME (AXSA:2021-2176:01)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	high
175096	Amazon Linux AMI：glib2 (ALAS-2023-1742)	Nessus	Amazon Linux Local Security Checks	2023/5/4	2025/9/29	critical
157668	AlmaLinux 8GNOME (ALSA-2021:1586)	Nessus	Alma Linux Local Security Checks	2022/2/9	2023/4/25	high
157789	Rocky Linux 8GNOME (RLSA-2021:1586)	Nessus	Rocky Linux Local Security Checks	2022/2/9	2023/11/6	high
358311	Rocky Linux 8 [CIQ] 安全更新：OpenEXR-debuginfo / OpenEXR-debugsource / OpenEXR-devel / etc 多种漏洞（crlsa-2021_1586）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
352020	CentOS Linux 6 [TuxCare] 安全更新：glib2 / glib2-devel / glib2-doc / glib2-static 多个漏洞（CENTOS6：CLSA-2026：1776346717）	Nessus	CentOS Local Security Checks	2026/9/30	2026/9/30	critical
358626	Rocky Linux 8.6 [CIQ] 安全更新：glib2 / glib2-debuginfo / glib2-debugsource / glib2-devel / etc 多种漏洞（ciqsa-2026_0054）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/11	critical
149947	Oracle Linux 8：GNOME (ELSA-2021-1586)	Nessus	Oracle Linux Local Security Checks	2021/5/26	2024/11/1	high

检测

插件搜索

high

high

high

high

high

critical

high

high

high

critical

critical

high