The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2018:3140 advisory.

    GNOME is the default desktop environment of Red Hat Enterprise Linux.

    Security Fix(es):

    * libsoup: Crash in soup_cookie_jar.c:get_cookies() on empty hostnames (CVE-2018-12910)

    * poppler: Infinite recursion in fofi/FoFiType1C.cc:FoFiType1C::cvtGlyph() function allows denial of     service (CVE-2017-18267)

    * libgxps: heap based buffer over read in ft_font_face_hash function of gxps-fonts.c (CVE-2018-10733)

    * libgxps: Stack-based buffer overflow in calling glib in gxps_images_guess_content_type of gcontenttype.c     (CVE-2018-10767)

    * poppler: NULL pointer dereference in Annot.h:AnnotPath::getCoordsLength() allows for denial of service     via crafted PDF (CVE-2018-10768)

    * poppler: out of bounds read in pdfunite (CVE-2018-13988)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Red Hat would like to thank chenyuan (NESA Lab) for reporting CVE-2018-10733 and CVE-2018-10767 and Hosein     Askari for reporting CVE-2018-13988.

    Additional Changes:

    For detailed information on changes in this release, see the Red Hat Enterprise Linux 7.6 Release Notes     linked from the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:3140 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - freetype: クラッシュを引き起こす type1/t1parse.c の T1_Get_Private_Dict におけるヒープベースのバッファオーバーフロー (CVE-2015-9381)

  - freetype: skip_comment、psaux/psobjs.c の FT_New_Memory_Face 動作で ps_parser_skip_PS_token が誤って処理されるため、バッファオーバーリードが発生 (CVE-2015-9382)

  - gdk-pixbuf2: gdk_pixbuf__jpeg_image_load_increment 関数におけるヒープオーバーフロー (CVE-2017-2862)

  - poppler: fofi/FoFiType1C.cc:FoFiType1C::cvtGlyph() 関数での無限再帰により、サービス拒否を引き起こす可能性があります (CVE-2017-18267)

  - webkitgtk: 悪意のある細工された Web コンテンツを処理する際のメモリ破損 (CVE-2018-4121、CVE-2018-4200、CVE-2018-4204)

  - libgxps: gxps-fonts.c の ft_font_face_hash 関数におけるヒープベースのバッファオーバーリード (CVE-2018-10733)

  - libgxps: gcontenttype.c の gxps_images_guess_content_type で glib を呼び出す際のスタックベースのバッファオーバーフロー (CVE-2018-10767)

  - poppler: Annot.h:AnnotPath::getCoordsLength() の NULL ポインターデリファレンスにより、細工された PDF を介してサービス拒否を引き起こす可能性があります (CVE-2018-10768)

  - webkitgtk: WebSocket 接続に対する不適切な TLS 証明書の検証 (CVE-2018-11712)

  - webkitgtk: WebSocket はシステムのプロキシ設定を使用しません (CVE-2018-11713)

  - libsoup: 空のホストネームでの soup_cookie_jar.c:get_cookies() のクラッシュ (CVE-2018-12910)

  - poppler: pdfunite における領域外読み取り (CVE-2018-13988)

  - accountsservice: user.c 内の user_change_icon_file_authorized_cb() のパスチェックが不十分です (CVE-2018-14036)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2018:3140 公告中提及的多個弱點影響。

  - freetype：type1/t1parse.c 中 T1_Get_Private_Dict 的堆積型緩衝區過度讀取問題會導致當機 (CVE-2015-9381)

  - freetype：在 skip_comment 和 psaux/psobjs.c 中，FT_New_Memory_Face 操作中會錯誤處理 ps_parser_skip_PS_token，進而導致緩衝區過度讀取問題 (CVE-2015-9382)

  - gdk-pixbuf2：gdk_pixbuf__jpeg_image_load_increment 函式中的堆積溢位弱點 (CVE-2017-2862)

  - poppler：fofi/FoFiType1C.cc:FoFiType1C::cvtGlyph() 函式中的無限遞回可導致拒絕服務 (CVE-2017-18267)

  - webkitgtk：處理惡意特製的 Web 內容時會發生記憶體損毀 (CVE-2018-4121、CVE-2018-4200、CVE-2018-4204)

  - libgxps：gxps-fonts.c 的 ft_font_face_hash 函式中存在堆積型緩衝區過度讀取問題 (CVE-2018-10733)

  - libgxps：呼叫  glib 時，gcontenttype.c 的 gxps_images_guess_content_type 中會發生堆疊型緩衝區溢位問題 (CVE-2018-10767)

  - poppler：Annot.h:AnnotPath::getCoordsLength() 中的 NULL 指標解除參照弱點允許透過特製的 PDF 造成拒絕服務 (CVE-2018-10768)

  - webkitgtk：WebSocket 連線的 TLS 憑證驗證不當 (CVE-2018-11712)

  - webkitgtk：WebSocket 不使用系統 Proxy 設定 (CVE-2018-11713)

  - libsoup：空白主機名稱上的 soup_cookie_jar.c:get_cookies() 發生損毀 (CVE-2018-12910)

  - poppler：pdfunite 中存在超出邊界讀取弱點 (CVE-2018-13988)

  - accountsservice：user.c 中 user_change_icon_file_authorized_cb() 的路徑檢查不充分 (CVE-2018-14036)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:3140 公告中提及的多个漏洞的影响。

  - freetype：在 type1/t1parse.c 中，T1_Get_Private_Dict 中基于堆的缓冲区过度读取会导致崩溃 (CVE-2015-9381)

  - freetype：在 skip_comment 和 psaux/psobjs.c 中，FT_New_Memory_Face 操作中错误处理 ps_parser_skip_PS_token 会导致缓冲区过度读取 (CVE-2015-9382)

  - gdk-pixbuf2：gdk_pixbuf__jpeg_image_load_increment 函数中存在堆溢出漏洞 (CVE-2017-2862)

  - poppler：fofi/FoFiType1C.cc:FoFiType1C::cvtGlyph() 函数中存在无限递归，可导致拒绝服务 (CVE-2017-18267)

  - webkitgtk：处理恶意构建的 Web 内容时发生内存损坏（CVE-2018-4121、CVE-2018-4200、CVE-2018-4204）

  - libgxps：gxps-fonts.c 的 ft_font_face_hash 函数中存在基于堆的缓冲区过度读取 (CVE-2018-10733)

  - libgxps：调用 gcontenttype.c 的 gxps_images_guess_content_type 中的 glib 时，存在基于堆栈的缓冲区溢出 (CVE-2018-10767)

  - poppler：Annot.h:AnnotPath::getCoordsLength() 中存在空指针取消引用，攻击者可通过构建的 PDF 造成拒绝服务 (CVE-2018-10768)

  - webkitgtk：针对 WebSocket 连接的不正确 TLS 证书验证 (CVE-2018-11712)

  - webkitgtk：WebSockets 不使用系统代理设置 (CVE-2018-11713)

  - libsoup：在空主机名称的 soup_cookie_jar.c:get_cookies() 中发生崩溃 (CVE-2018-12910)

  - poppler：pdfunite 中存在越界读取 (CVE-2018-13988)

  - accountsservice：user.c 的 user_change_icon_file_authorized_cb() 中存在路径检查不充分漏洞 (CVE-2018-14036)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機受到 GLSA-201808-04 中所述的弱點影響 (WebkitGTK+：多個弱點) 在 WebKitGTK+ 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：遠端攻擊者可透過惡意特製的 web 內容執行任意命令，或造成拒絕服務情形。因應措施：目前尚無已知的因應措施。

This update for webkit2gtk3 to version 2.20.3 fixes the issues :

The following security vulnerabilities were addressed :

  - CVE-2018-12911: Fixed an off-by-one error in     xdg_mime_get_simple_globs (boo#1101999)

  - CVE-2017-13884: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2017-13885: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2017-7153: An unspecified issue allowed remote     attackers to spoof user-interface information (about     whether the entire content is derived from a valid TLS     session) via a crafted website that sends a 401     Unauthorized redirect (bsc#1077535).

  - CVE-2017-7160: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2017-7161: An unspecified issue allowed remote     attackers to execute arbitrary code via special     characters that trigger command injection (bsc#1075775,     bsc#1077535).

  - CVE-2017-7165: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2018-4088: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2018-4096: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1075775).

  - CVE-2018-4200: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website that triggers a     WebCore::jsElementScrollHeightGetter use-after-free     (bsc#1092280).

  - CVE-2018-4204: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1092279).

  - CVE-2018-4101: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4113: An issue in the JavaScriptCore function     in the 'WebKit' component allowed attackers to trigger     an assertion failure by leveraging improper array     indexing (bsc#1088182)

  - CVE-2018-4114: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182) 

  - CVE-2018-4117: An unspecified issue allowed remote     attackers to bypass the Same Origin Policy and obtain     sensitive information via a crafted website     (bsc#1088182, bsc#1102530).

  - CVE-2018-4118: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182) 

  - CVE-2018-4119: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182) 

  - CVE-2018-4120: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4121: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1092278).

  - CVE-2018-4122: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4125: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4127: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4128: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4129: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4146: An unspecified issue allowed attackers to     cause a denial of service (memory corruption) via a     crafted website (bsc#1088182).

  - CVE-2018-4161: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4162: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4163: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4165: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1088182).

  - CVE-2018-4190: An unspecified issue allowed remote     attackers to obtain sensitive credential information     that is transmitted during a CSS mask-image fetch     (bsc#1097693)

  - CVE-2018-4199: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (buffer overflow and application crash) via a     crafted website (bsc#1097693)

  - CVE-2018-4218: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website that triggers an @generatorState     use-after-free (bsc#1097693)

  - CVE-2018-4222: An unspecified issue allowed remote     attackers to execute arbitrary code via a crafted     website that leverages a getWasmBufferFromValue     out-of-bounds read during WebAssembly compilation     (bsc#1097693) 

  - CVE-2018-4232: An unspecified issue allowed remote     attackers to overwrite cookies via a crafted website     (bsc#1097693) 

  - CVE-2018-4233: An unspecified issue allowed remote     attackers to execute arbitrary code or cause a denial of     service (memory corruption and application crash) via a     crafted website (bsc#1097693) 

  - CVE-2018-4246: An unspecified issue allowed remote     attackers to execute arbitrary code via a crafted     website that leverages type confusion (bsc#1104169) 

  - CVE-2018-11646: webkitFaviconDatabaseSetIconForPageURL     and webkitFaviconDatabaseSetIconURLForPageURL mishandled     an unset pageURL, leading to an application crash     (bsc#1095611)

  - CVE-2018-4133: A Safari cross-site scripting (XSS)     vulnerability allowed remote attackers to inject     arbitrary web script or HTML via a crafted URL     (bsc#1088182).

  - CVE-2018-11713: The libsoup network backend of WebKit     unexpectedly failed to use system proxy settings for     WebSocket connections. As a result, users could be     deanonymized by crafted websites via a WebSocket     connection (bsc#1096060).

  - CVE-2018-11712: The libsoup network backend of WebKit     failed to perform TLS certificate verification for     WebSocket connections (bsc#1096061).

This update for webkit2gtk3 fixes the following issues :

  - Fixed a crash when atk_object_ref_state_set is called on     an AtkObject that's being destroyed (bsc#1088932).

  - Fixed crash when using Wayland with QXL/virtio     (bsc#1079512)

  - Disable Gigacage if mmap fails to allocate in Linux.

  - Add user agent quirk for paypal website.

  - Properly detect compiler flags, needed libs, and     fallbacks for usage of 64-bit atomic operations.

  - Fix a network process crash when trying to get cookies     of about:blank page.

  - Fix UI process crash when closing the window under     Wayland.

  - Fix several crashes and rendering issues.

  - Do TLS error checking on     GTlsConnection::accept-certificate to finish the load     earlier in case of errors.

  - Properly close the connection to the nested wayland     compositor in the Web Process.

  - Avoid painting backing stores for zero-opacity layers.

  - Fix downloads started by context menu failing in some     websites due to missing user agent HTTP header.

  - Fix video unpause when GStreamerGL is disabled.

  - Fix several GObject introspection annotations.

  - Update user agent quiks to fix Outlook.com and     Chase.com.

  - Fix several crashes and rendering issues.

  - Improve error message when Gigacage cannot allocate     virtual memory.

  - Add missing WebKitWebProcessEnumTypes.h to     webkit-web-extension.h.

  - Improve web process memory monitor thresholds.

  - Fix a web process crash when the web view is created and     destroyed quickly.

  - Fix a network process crash when load is cancelled while     searching for stored HTTP auth credentials.

  - Fix the build when ENABLE_VIDEO, ENABLE_WEB_AUDIO and     ENABLE_XSLT are disabled.

  - New API to retrieve and delete cookies with     WebKitCookieManager.

  - New web process API to detect when form is submitted via     JavaScript.

  - Several improvements and fixes in the touch/gestures     support.

  - Support for the &ldquo;system&rdquo; CSS font family.

  - Complex text rendering improvements and fixes.

  - More complete and spec compliant WebDriver     implementation.

  - Ensure DNS prefetching cannot be re-enabled if disabled     by settings.

  - Fix seek sometimes not working.

  - Fix rendering of emojis that were using the wrong scale     factor in some cases.

  - Fix rendering of combining enclosed keycap.

  - Fix rendering scale of some layers in HiDPI.

  - Fix a crash in Wayland when closing the web view.

  - Fix crashes upower crashes when running inside a chroot     or on systems with broken dbus/upower.

  - Fix memory leaks in GStreamer media backend when using     GStreamer 1.14.

  - Fix several crashes and rendering issues.

  - Add ENABLE_ADDRESS_SANITIZER to make it easier to build     with asan support.

  - Fix a crash a under Wayland when using mesa software     rasterization.

  - Make fullscreen video work again.

  - Fix handling of missing GStreamer elements.

  - Fix rendering when webm video is played twice.

  - Fix kinetic scrolling sometimes jumping around.

  - Fix build with ICU configured without collation support.

  - WebSockets use system proxy settings now (requires     libsoup 2.61.90).

  - Show the context menu on long-press gesture.

  - Add support for Shift + mouse scroll to scroll     horizontally.

  - Fix zoom gesture to actually zoom instead of changing     the page scale.

  - Implement support for Graphics ARIA roles.

  - Make sleep inhibitors work under Flatpak.

  - Add get element CSS value command to WebDriver.

  - Fix a crash aftter a swipe gesture.

  - Fix several crashes and rendering issues.

  - Fix crashes due to duplicated symbols in     libjavascriptcoregtk and libwebkit2gtk.

  - Fix parsing of timeout values in WebDriver.

  - Implement get timeouts command in WebDriver.

  - Fix deadlock in GStreamer video sink during shutdown     when accelerated compositing is disabled.

  - Fix several crashes and rendering issues.

  - Add web process API to detect when form is submitted via     JavaScript.

  - Add new API to replace     webkit_form_submission_request_get_text_fields() that is     now deprecated.

  - Add WebKitWebView::web-process-terminated signal and     deprecate web-process-crashed.

  - Fix rendering issues when editing text areas.

  - Use FastMalloc based GstAllocator for GStreamer.

  - Fix web process crash at startup in bmalloc.

  - Fix several memory leaks in GStreamer media backend.

  - WebKitWebDriver process no longer links to     libjavascriptcoregtk.

  - Fix several crashes and rendering issues.

  - Add new API to add, retrieve and delete cookies via     WebKitCookieManager.

  - Add functions to WebSettings to convert font sizes     between points and pixels.

  - Ensure cookie operations take effect when they happen     before a web process has been spawned.

  - Automatically adjust font size when     GtkSettings:gtk-xft-dpi changes.

  - Add initial resource load statistics support.

  - Add API to expose availability of certain editing     commands in WebKitEditorState.

  - Add API to query whether a WebKitNavigationAction is a     redirect or not.

  - Improve complex text rendering.

  - Add support for the 'system' CSS font family.

  - Disable USE_GSTREAMER_GL

This update was imported from the SUSE:SLE-12-SP2:Update update project.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - WebCore/platform/network/soup/SocketStreamHandleImplSoup.cpp in the libsoup network backend of WebKit, as     used in WebKitGTK+ versions 2.20.0 and 2.20.1, failed to perform TLS certificate verification for     WebSocket connections. (CVE-2018-11712)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 WebKitGTK+ 版本 2.20.0 和 2.20.1中使用時，WebKit 的 libsoup 網路後端中的 WebCore/platform/network/soup/SocketStreamHandleImplSoup.cpp 無法執行 WebSocket 連線的 TLS 憑證驗證。 (CVE-2018-11712)

請注意，Nessus 依賴供應商報告的套件存在。

リモートホストは、GLSA-201808-04（WebkitGTK+：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がWebKitGTK+で発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、悪意をもって細工されたWebコンテンツを介して、任意のコマンドを実行したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このwebkit2gtk3の2.20.3への更新では、次の問題を修正します：

次のセキュリティ脆弱性に対処しました：

CVE-2018-12911：xdg_mime_get_simple_globsでのoff-by-oneエラーが修正されました（boo#1101999）

CVE-2017-13884：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2017-13885：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2017-7153：詳細不明な問題により、401の認証されていないリダイレクトを送信する細工されたWebサイトを介して、リモート攻撃者がユーザーインターフェイス情報（コンテンツ全体が有効なTLSセッションから派生したかどうかについて）を偽装することができました（bsc#1077535）。

CVE-2017-7160：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2017-7161：詳細不明な問題により、リモート攻撃者が、コマンドインジェクションをトリガーする特殊文字を介して、任意のコードを実行することができました（bsc#1075775、bsc#1077535）。

CVE-2017-7165：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2018-4088：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2018-4096：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1075775）。

CVE-2018-4200：詳細不明な問題により、リモート攻撃者がWebCoreをトリガーする細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました：：jsElementScrollHeightGetterのメモリ解放後使用（use-after-free）（bsc#1092280）。

CVE-2018-4204：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1092279）。

CVE-2018-4101：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4113：「WebKit」コンポーネントのJavaScriptCore関数にある問題により、攻撃者が不適切な配列インデックスを利用することで、アサーション失敗をトリガーすることができました（bsc#1088182）

CVE-2018-4114：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）

CVE-2018-4117：詳細不明な問題により、リモート攻撃者が、細工されたWebサイトを通じて、同一生成元ポリシーをバイパスし、機密情報を取得することができました（bsc#1088182、bsc#1102530）。

CVE-2018-4118：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）

CVE-2018-4119：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）

CVE-2018-4120：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4121：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1092278）。

CVE-2018-4122：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4125：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4127：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4128：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4129：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4146：詳細不明な問題により、攻撃者が細工されたWebサイトを介して、サービス拒否（メモリ破損）を引き起こすことができました（bsc#1088182）。

CVE-2018-4161：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4162：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4163：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4165：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1088182）。

CVE-2018-4190：詳細不明な問題により、リモート攻撃者が、CSSマスクイメージのフェッチ中に送信される機密認証情報を取得することができました（bsc#1097693）

CVE-2018-4199：詳細不明な問題により、リモート攻撃者が細工されたXMLドキュメントを介して、任意のコードを実行したり、サービス拒否（バッファオーバーフローおよびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1097693）

CVE-2018-4218：詳細不明な問題により、リモート攻撃者が細工されたWebサイト（@generatorStateメモリ解放後使用（use-after-free）を引き起こす）を介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1097693）

CVE-2018-4222：詳細不明な問題により、リモート攻撃者が、WebAssemblyのコンパイル中にgetWasmBufferFromValueを使用する特別に細工されたWebページを介して、任意のコードを実行することができました（bsc#1097693）

CVE-2018-4232：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介してCookieを上書きすることができました（bsc#1097693）

CVE-2018-4233：詳細不明な問題により、リモート攻撃者が細工されたWebサイトを介して、任意のコードを実行したり、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたりすることができました（bsc#1097693）

CVE-2018-4246：詳細不明な問題により、リモート攻撃者が、型の取り違え（type confusion）を悪用する細工されたWebページを介して、任意のコードを実行することができました（bsc#1104169）

CVE-2018-11646：webkitFaviconDatabaseSetIconForPageURLおよびwebkitFaviconDatabaseSetIconURLForPageURLで未設定のpageURLが誤って処理され、これによりアプリケーションがクラッシュしました（bsc#1095611）

CVE-2018-4133：Safariクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が任意のWebスクリプトまたはHTMLを注入することができました（bsc#1088182）。

CVE-2018-11713：WebKitのlibsoupネットワークバックエンドが、予期せずにWebSocket接続にシステムプロキシ設定を使用できませんでした。その結果、ユーザーがWebSocket接続を介して、細工されたWebサイトにより匿名化される可能性があります（bsc#1096060）。

CVE-2018-11712：WebKitのlibsoupネットワークバックエンドは、WebSocket接続のためのTLS証明書の検証を実行できませんでした（bsc#1096061）。

このwebkit2gtk3の更新では、以下の問題を修正します：破壊されているAtkObjectでatk_object_ref_state_setが呼び出された場合のクラッシュが修正されました（bsc#1088932）。

WaylandをQXL/virtioで使用する場合のクラッシュが修正されました（bsc#1079512）

Linuxでmmapの割り当てが失敗する場合にGigacageを無効にします。

PayPalのWebサイトにユーザーエージェントquirkを追加します。

コンパイラーフラグ、必要なlib、および64ビットアトミック操作の使用に関するフォールバックを適切に検出します。

以下に関するCookieの取得しようとして発生するネットワークプロセスのクラッシュを修正します：空白ページ。

Waylandでウィンドウを閉じる際のUIプロセスのクラッシュを修正します。

複数のクラッシュおよびレンダリングの問題を修正します。

GTlsConnection：：でTLSエラーをチェックしませんaccept-certificateでTLSエラーチェックを行って、エラーの場合にロードを早期に終了します。

Webプロセスのネスト化されたWayland Compositorへの接続を適切に解除します。

不透明度ゼロのレイヤーのバッキングストアのペイントを回避します。

ユーザーエージェントのHTTPヘッダーが欠落しているために一部のWebサイトでコンテキストメニューが表示されないことによって開始されるダウンロードを修正します。

GStreamerGLが無効になっている場合の動画の一時停止解除を修正します。

いくつかのGObjectイントロスペクションの注釈を修正します。

Outlook.comとChase.comを修正するようにユーザーエージェントの予期せぬ動作を更新します。

複数のクラッシュおよびレンダリングの問題を修正します。

Gigacageが仮想メモリを割り当てられない場合のエラーメッセージを改善します。

欠落しているWebKitWebProcessEnumTypes.hをwebkit-web-extension.hに追加します。

Webプロセスメモリモニターのしきい値を改善します。

Webビューが素早く作成および破棄される場合のWebプロセスクラッシュを修正します。

保存されたHTTP認証情報の検索中にロードがキャンセルされた場合のネットワークプロセスのクラッシュを修正します。

ENABLE_VIDEO、ENABLE_WEB_AudioおよびENABLE_XSLTが無効な場合のビルドを修正します。

WebKitCookieManagerでクッキーを取得および削除するための新しいAPI。

JavaScript経由でフォームが送信された場合に検出するための新しいWebプロセスAPI。

タッチ/ジェスチャのサポートでのいくつかの改善と修正。

&Atilde;&cent;&Acirc;€&Acirc;œsystem&Atilde;&cent;&Acirc;&#1 28;&Acirc; CSSフォントファミリーのサポート。

複雑なテキストレンダリングの改善と修正。

より完全で仕様に準拠したWebDriverの実装。

設定で無効になっている場合、DNSプリフェッチを再度有効にできないことを確認します。

seekが時折動作しない問題を修正します。

場合によっては間違った倍率を使用していた絵文字のレンダリングを修正します。

同梱されたkeycapを組み合わせたレンダリングを修正します。

HiDPIの一部のレイヤーのレンダリングスケールを修正します。

Webビューを閉じる際のWaylandでのクラッシュを修正します。

chrootの内部または破損したdbus/upowerを含むシステムで実行した場合の、upowerのクラッシュを修正します。

GStreamerを使用する際のGStreamerメディアバックエンドのメモリリークを修正します 1.14。

複数のクラッシュおよびレンダリングの問題を修正します。

ENABLE_ADDRESS_SANITIZERを追加し、asanサポートでより簡単に構築できるようにします。

mesaソフトウェアのラスター化を使用する際のWaylandでのクラッシュを修正します。

フルスクリーン動画を再び動作するようにします。

欠落するGStreamer要素の処理を修正します。

webmビデオが2回再生される場合のレンダリングを修正します。

時折ジャンプすることのある動的スクロールを修正します。

照合順序のサポートなしで構成されたICUでのビルドを修正します。

WebSocketsは現在システムプロキシ設定を使用します（libsoup 2.61.90が必要）。

長押しのジェスチャでコンテキストメニューを表示します。

水平にスクロールするためにShift +マウススクロールのサポートを追加します。

ページスケールを変更する代わりに実際にズームするようにズームジェスチャを修正します。

Graphics ARIAロールのサポートを実装します。

Flatpakでスリープ抑制を動作させます。

CSS要素値取得コマンドをWebDriverに追加します。

スワイプジェスチャの後でのクラッシュを修正します。

複数のクラッシュおよびレンダリングの問題を修正します。

libjavascriptcoregtkおよびlibwebkit2gtkでの重複シンボルによるクラッシュを修正します。

WebDriverのタイムアウト値の解析を修正します。

WebDriverでgetタイムアウトコマンドを実装します。

高速合成が無効な場合のシャットダウン中のGStreamerビデオシンクのデッドロックを修正します。

複数のクラッシュおよびレンダリングの問題を修正します。

JavaScript経由でフォームが送信された場合に検出するためのWebプロセスAPIを追加します。

新しいAPIを追加して、現在非推奨になっているwebkit_form_submission_request_get_text_fields（）を置き換えます。

WebKitWebView：：を追加しますweb-process-terminatedシグナルを送信し、web-process-crashedを廃止します。

テキスト領域編集時のレンダリングの問題を修正します。

GStreamerにFastMallocベースのGstAllocatorを使用します。

bmallocの起動時のWebプロセスクラッシュを修正します。

GStreamerメディアバックエンドでのいくつかのメモリリークを修正します。

WebKitWebDriverプロセスはlibjavascriptcoregtkにリンクしなくなりました。

複数のクラッシュおよびレンダリングの問題を修正します。

WebKitCookieManagerを介してクッキーを追加、取得および削除するための新しいAPIを追加します。

ポイントとピクセルの間でフォントサイズを変換するために、WebSettingsに関数を追加します。

Webプロセスが生成される前にクッキー操作が発生したときに、その操作が有効になるようにします。

GtkSettings：gtk-xft-dpiが変更される場合、フォントサイズを自動的に調整します。

初期リソースロード統計のサポートを追加します。

APIを追加し、WebKitEditorStateで特定の編集コマンドの可用性を公開します。

APIを追加し、WebKitNavigationActionがリダイレクトであるかどうかをクエリします。

複雑なテキストのレンダリングを改善します。

「system」CSSフォントファミリーのサポートを追加します。

USE_GSTREAMER_GLを無効化します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在用于 WebKitGTK+ 版本 2.20.0 和 2.20.1的 WebKit libsoup 网络后端中，WebCore/platform/network/soup/SocketStreamHandleImplSoup.cpp 无法执行 WebSocket 连接的 TLS 证书验证。 (CVE-2018-11712)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - WebKitGTK+ バージョン 2.20.0 および 2.20.1で使用されている WebKit の libsoup ネットワークバックエンドの WebCore/platform/network/soup/SocketStreamHandleImplSoup.cpp は、WebSocket 接続に対して TLS 証明書の検証を実行できませんでした。 （CVE-2018-11712）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

远程主机受到 GLSA-201808-04 中所述漏洞的影响（WebkitGTK+：多个漏洞）在 WebKitGTK+ 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可通过恶意构建的网络内容，执行任意命令或造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

The remote host is affected by the vulnerability described in GLSA-201808-04 (WebkitGTK+: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in WebKitGTK+. Please       review the referenced CVE identifiers for details.
  Impact :

    A remote attacker could execute arbitrary commands or cause a denial of       service condition  via a maliciously crafted web content.
  Workaround :

    There is no known workaround at this time.

This update for webkit2gtk3 to version 2.20.3 fixes the issues :

The following security vulnerabilities were addressed :

CVE-2018-12911: Fixed an off-by-one error in xdg_mime_get_simple_globs (boo#1101999)

CVE-2017-13884: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2017-13885: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2017-7153: An unspecified issue allowed remote attackers to spoof user-interface information (about whether the entire content is derived from a valid TLS session) via a crafted website that sends a 401 Unauthorized redirect (bsc#1077535).

CVE-2017-7160: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2017-7161: An unspecified issue allowed remote attackers to execute arbitrary code via special characters that trigger command injection (bsc#1075775, bsc#1077535).

CVE-2017-7165: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2018-4088: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2018-4096: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1075775).

CVE-2018-4200: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website that triggers a WebCore::jsElementScrollHeightGetter use-after-free (bsc#1092280).

CVE-2018-4204: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1092279).

CVE-2018-4101: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4113: An issue in the JavaScriptCore function in the 'WebKit' component allowed attackers to trigger an assertion failure by leveraging improper array indexing (bsc#1088182)

CVE-2018-4114: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182)

CVE-2018-4117: An unspecified issue allowed remote attackers to bypass the Same Origin Policy and obtain sensitive information via a crafted website (bsc#1088182, bsc#1102530).

CVE-2018-4118: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182)

CVE-2018-4119: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182)

CVE-2018-4120: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4121: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1092278).

CVE-2018-4122: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4125: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4127: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4128: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4129: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4146: An unspecified issue allowed attackers to cause a denial of service (memory corruption) via a crafted website (bsc#1088182).

CVE-2018-4161: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4162: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4163: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4165: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1088182).

CVE-2018-4190: An unspecified issue allowed remote attackers to obtain sensitive credential information that is transmitted during a CSS mask-image fetch (bsc#1097693)

CVE-2018-4199: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (buffer overflow and application crash) via a crafted website (bsc#1097693)

CVE-2018-4218: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website that triggers an @generatorState use-after-free (bsc#1097693)

CVE-2018-4222: An unspecified issue allowed remote attackers to execute arbitrary code via a crafted website that leverages a getWasmBufferFromValue out-of-bounds read during WebAssembly compilation (bsc#1097693)

CVE-2018-4232: An unspecified issue allowed remote attackers to overwrite cookies via a crafted website (bsc#1097693)

CVE-2018-4233: An unspecified issue allowed remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted website (bsc#1097693)

CVE-2018-4246: An unspecified issue allowed remote attackers to execute arbitrary code via a crafted website that leverages type confusion (bsc#1104169)

CVE-2018-11646: webkitFaviconDatabaseSetIconForPageURL and webkitFaviconDatabaseSetIconURLForPageURL mishandled an unset pageURL, leading to an application crash (bsc#1095611)

CVE-2018-4133: A Safari cross-site scripting (XSS) vulnerability allowed remote attackers to inject arbitrary web script or HTML via a crafted URL (bsc#1088182).

CVE-2018-11713: The libsoup network backend of WebKit unexpectedly failed to use system proxy settings for WebSocket connections. As a result, users could be deanonymized by crafted websites via a WebSocket connection (bsc#1096060).

CVE-2018-11712: The libsoup network backend of WebKit failed to perform TLS certificate verification for WebSocket connections (bsc#1096061).

This update for webkit2gtk3 fixes the following issues: Fixed a crash when atk_object_ref_state_set is called on an AtkObject that's being destroyed (bsc#1088932).

Fixed crash when using Wayland with QXL/virtio (bsc#1079512)

Disable Gigacage if mmap fails to allocate in Linux.

Add user agent quirk for paypal website.

Properly detect compiler flags, needed libs, and fallbacks for usage of 64-bit atomic operations.

Fix a network process crash when trying to get cookies of about:blank page.

Fix UI process crash when closing the window under Wayland.

Fix several crashes and rendering issues.

Do TLS error checking on GTlsConnection::accept-certificate to finish the load earlier in case of errors.

Properly close the connection to the nested wayland compositor in the Web Process.

Avoid painting backing stores for zero-opacity layers.

Fix downloads started by context menu failing in some websites due to missing user agent HTTP header.

Fix video unpause when GStreamerGL is disabled.

Fix several GObject introspection annotations.

Update user agent quiks to fix Outlook.com and Chase.com.

Fix several crashes and rendering issues.

Improve error message when Gigacage cannot allocate virtual memory.

Add missing WebKitWebProcessEnumTypes.h to webkit-web-extension.h.

Improve web process memory monitor thresholds.

Fix a web process crash when the web view is created and destroyed quickly.

Fix a network process crash when load is cancelled while searching for stored HTTP auth credentials.

Fix the build when ENABLE_VIDEO, ENABLE_WEB_AUDIO and ENABLE_XSLT are disabled.

New API to retrieve and delete cookies with WebKitCookieManager.

New web process API to detect when form is submitted via JavaScript.

Several improvements and fixes in the touch/gestures support.

Support for the &Atilde;&cent;&Acirc;&#128;&Acirc;&#156;system&Atilde;&cent;&Acirc;&#1 28;&Acirc;&#157; CSS font family.

Complex text rendering improvements and fixes.

More complete and spec compliant WebDriver implementation.

Ensure DNS prefetching cannot be re-enabled if disabled by settings.

Fix seek sometimes not working.

Fix rendering of emojis that were using the wrong scale factor in some cases.

Fix rendering of combining enclosed keycap.

Fix rendering scale of some layers in HiDPI.

Fix a crash in Wayland when closing the web view.

Fix crashes upower crashes when running inside a chroot or on systems with broken dbus/upower.

Fix memory leaks in GStreamer media backend when using GStreamer 1.14.

Fix several crashes and rendering issues.

Add ENABLE_ADDRESS_SANITIZER to make it easier to build with asan support.

Fix a crash a under Wayland when using mesa software rasterization.

Make fullscreen video work again.

Fix handling of missing GStreamer elements.

Fix rendering when webm video is played twice.

Fix kinetic scrolling sometimes jumping around.

Fix build with ICU configured without collation support.

WebSockets use system proxy settings now (requires libsoup 2.61.90).

Show the context menu on long-press gesture.

Add support for Shift + mouse scroll to scroll horizontally.

Fix zoom gesture to actually zoom instead of changing the page scale.

Implement support for Graphics ARIA roles.

Make sleep inhibitors work under Flatpak.

Add get element CSS value command to WebDriver.

Fix a crash aftter a swipe gesture.

Fix several crashes and rendering issues.

Fix crashes due to duplicated symbols in libjavascriptcoregtk and libwebkit2gtk.

Fix parsing of timeout values in WebDriver.

Implement get timeouts command in WebDriver.

Fix deadlock in GStreamer video sink during shutdown when accelerated compositing is disabled.

Fix several crashes and rendering issues.

Add web process API to detect when form is submitted via JavaScript.

Add new API to replace webkit_form_submission_request_get_text_fields() that is now deprecated.

Add WebKitWebView::web-process-terminated signal and deprecate web-process-crashed.

Fix rendering issues when editing text areas.

Use FastMalloc based GstAllocator for GStreamer.

Fix web process crash at startup in bmalloc.

Fix several memory leaks in GStreamer media backend.

WebKitWebDriver process no longer links to libjavascriptcoregtk.

Fix several crashes and rendering issues.

Add new API to add, retrieve and delete cookies via WebKitCookieManager.

Add functions to WebSettings to convert font sizes between points and pixels.

Ensure cookie operations take effect when they happen before a web process has been spawned.

Automatically adjust font size when GtkSettings:gtk-xft-dpi changes.

Add initial resource load statistics support.

Add API to expose availability of certain editing commands in WebKitEditorState.

Add API to query whether a WebKitNavigationAction is a redirect or not.

Improve complex text rendering.

Add support for the 'system' CSS font family.

Disable USE_GSTREAMER_GL

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
118726	RHEL 7 : GNOME (RHSA-2018:3140)	Nessus	Red Hat Local Security Checks	2018/11/5	2025/3/24	critical
118726	RHEL 7：GNOME（RHSA-2018:3140）	Nessus	Red Hat Local Security Checks	2018/11/5	2025/3/24	critical
118726	RHEL 7：GNOME (RHSA-2018:3140)	Nessus	Red Hat Local Security Checks	2018/11/5	2025/3/24	critical
118726	RHEL 7：GNOME (RHSA-2018:3140)	Nessus	Red Hat Local Security Checks	2018/11/5	2025/3/24	critical
112078	GLSA-201808-04：WebkitGTK+：多個弱點	Nessus	Gentoo Local Security Checks	2018/8/23	2024/8/14	high
118453	openSUSE Security Update : webkit2gtk3 (openSUSE-2018-1288)	Nessus	SuSE Local Security Checks	2018/10/26	2024/7/29	critical
222063	Linux Distros Unpatched Vulnerability : CVE-2018-11712	Nessus	Misc.	2025/3/4	2025/9/14	high
222063	Linux Distros 未修補弱點：CVE-2018-11712	Nessus	Misc.	2025/3/4	2025/9/14	high
112078	GLSA-201808-04：WebkitGTK+：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/8/23	2024/8/14	high
118389	SUSE SLED12 / SLES12セキュリティ更新プログラム：webkit2gtk3（SUSE-SU-2018:3387-1）	Nessus	SuSE Local Security Checks	2018/10/25	2024/7/29	critical
222063	Linux Distros 未修补的漏洞: CVE-2018-11712	Nessus	Misc.	2025/3/4	2025/9/14	high
118453	openSUSEセキュリティ更新プログラム：webkit2gtk3（openSUSE-2018-1288）	Nessus	SuSE Local Security Checks	2018/10/26	2024/7/29	critical
222063	Linux Distros のパッチ未適用の脆弱性: CVE-2018-11712	Nessus	Misc.	2025/3/4	2025/9/14	high
112078	GLSA-201808-04：WebkitGTK+：多个漏洞	Nessus	Gentoo Local Security Checks	2018/8/23	2024/8/14	high
112078	GLSA-201808-04 : WebkitGTK+: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2018/8/23	2024/8/14	high
118389	SUSE SLED12 / SLES12 Security Update : webkit2gtk3 (SUSE-SU-2018:3387-1)	Nessus	SuSE Local Security Checks	2018/10/25	2024/7/29	critical

检测

插件搜索

critical

critical

critical

critical

high

critical

high

high

high

critical

high

critical

high

high

high

critical