远程 Debian 12 主机上安装的多个程序包受到 dsa-5899 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5899-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2025 年 4 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：webkit2gtk CVE ID：CVE-2024-54551 CVE-2025-24208 CVE-2025-24209 CVE-2025-24213 CVE-2025-24216 CVE-2025-24264 CVE-2025-30427

    在 WebKitGTK Web 引擎中发现以下漏洞：

    CVE-2024-54551

        ajajfxhj 发现，处理 Web 内容可能会导致拒绝服务。

    CVE-2025-24208

        Muhammad Zaid Ghifari 和 Kalimantan Utara 发现，加载恶意 iframe 可能会导致跨站脚本攻击。

    CVE-2025-24209

        Francisco Alonso 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2025-24213

        Google V8 安全团队发现，一个类型混淆问题可能导致内存损坏。请注意，此 CVE 仅在 ARM 架构中得到修复。x86_64 不易受攻击，x86 在启用 SSE2 指令集时不易受攻击；但其他架构仍然容易受到影响。

    CVE-2025-24216

        Paul Bakker 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2025-24264

        Gary Kwong 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    CVE-2025-30427

        rheza 发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    对于稳定发行版本 (bookworm)，已在 2.48.1-2~deb12u1 版本中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已通过改进浮点处理解决此问题。此问题已在中修复 tvOS 18.5、Safari 18.5、iPadOS 17.7.7、iOS 18.5 和 iPadOS 18.5、macOS Sequoia 15.5、watchOS 11.5、visionOS 2.5 中修复。类型混淆问题可导致内存损坏。(CVE-2025-24213)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 22.04 LTS / 24.04 LTS / 24.10 主机上安装的程序包受到 USN-7436-1 公告中提及的多个漏洞的影响。

    在 WebKitGTK Web 和 JavaScript 引擎中发现多个安全问题。如果用户受到诱骗查看恶意网站，远程攻击者可利用与网页浏览器安全有关的各种问题，包括跨站脚本攻击、拒绝服务攻击和任意代码执行。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 webkitgtk4 版本低于 2.48.5-1。因此，该软件受到 ALAS2-2025-2970 公告中提及的多个漏洞影响。

    已通过改进状态管理解决 cookie 管理问题。已在 watchOS 11、macOS Sequoia 15、Safari 18、visionOS 2、iOS 18 和 iPadOS 18、tvOS 18 中修复此问题。恶意网站可能会跨源泄露数据。(CVE-2024-54467)

    已通过改进检查解决此问题。此问题已在 Safari 18.3、visionOS 2.3、iOS 18.3 和 iPadOS 18.3、macOS Sequoia 15.3、watchOS 11.3、tvOS 18.3中修复。处理恶意构建的 Web 内容可能导致内存损坏。(CVE-2025-24189)

    此问题已通过改进对浮点的处理得到解决。此问题已在 tvOS 18.4、Safari 18.4、iPadOS 17.7.6、iOS 18.4 和 iPadOS 18.4、macOS Sequoia 15.4 中修复。类型混淆问题可导致内存损坏。(CVE-2025-24213)

    已通过改进内存处理解决此问题。此问题已在 watchOS 11.5、tvOS 18.5、iOS 18.5 和 iPadOS 18.5、macOS Sequoia 15.5、visionOS 2.5、Safari 18.5 中修复。处理恶意构建的 Web 内容可能导致内存损坏。(CVE-2025-24223)

    已通过改进内存处理解决此问题。此问题在 Safari 18.6、macOS Sequoia 15.6、iOS 18.6 和 iPadOS 18.6、tvOS 18.6、watchOS 11.6、visionOS 2.6中已修复。处理恶意构建的 Web 内容可能导致内存损坏。(CVE-2025-31273)

    已通过改进内存处理解决此问题。此问题已在 Safari 18.6、iPadOS 17.7.9、watchOS 11.6、visionOS 2.6、iOS 18.6 和 iPadOS 18.6、macOS Sequoia 15.6、tvOS 18.6中修复。处理恶意构建的 Web 内容可能导致内存损坏。(CVE-2025-31278)

    已通过改进内存处理解决此问题。此问题已在 Safari 18.6、macOS Sequoia 15.6、iPadOS 17.7.9、iOS 18.6 和 iPadOS 18.6、tvOS 18.6、watchOS 11.6、visionOS 2.6中得到修复。处理网络内容可能会导致拒绝服务。(CVE-2025-43211)

    已通过改进内存处理解决此问题。此问题在 Safari 18.6、macOS Sequoia 15.6、iOS 18.6 和 iPadOS 18.6、tvOS 18.6、watchOS 11.6、visionOS 2.6中已修复。处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。(CVE-2025-43212)

    已通过改进内存管理解决释放后使用问题。此问题已在 Safari 18.6、watchOS 11.6、iOS 18.6 和 iPadOS 18.6、iPadOS 17.7.9、tvOS 18.6、macOS Sequoia 15.6、visionOS 2.6中修复。
    处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。(CVE-2025-43216)

    已通过改进的状态管理解决此问题。此问题已在 Safari 18.6、iOS 18.6 和 iPadOS 18.6、macOS Sequoia 15.6、tvOS 18.6、watchOS 11.6、visionOS 2.6中修复。处理恶意构建的 Web 内容可能会泄露敏感用户信息。(CVE-2025-43227)

    已通过改进 UI 解决此问题。此问题已在 iOS 18.6 和 iPadOS 18.6Safari 18. 6 中修复。
    访问恶意网站可能会导致地址栏欺骗。(CVE-2025-43228)

    已通过改进检查解决此逻辑问题。此问题已在 macOS Sequoia 15.6、Safari 18. 6 中修复。
    可能未正确关联下载源。(CVE-2025-43240)

    已通过改进输入验证解决一个越界读取问题。此问题已在 Safari 18.6、watchOS 11.6、visionOS 2.6、iOS 18.6 和 iPadOS 18.6、macOS Sequoia 15.6、tvOS 18.6中修复。- 处理恶意构建的 Web 内容可能会泄露应用程序的内部状态。(CVE-2025-43265)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 macOS/Mac OS X 版本为低于 15.5 的 15.x。因此，该应用程序受到多个漏洞的影响：

  - 启用 VerifyHostKeyDNS 选项时，在 OpenSSH 中发现漏洞。恶意计算机可通过冒充合法服务器执行中间机攻击。发生此问题的原因是 OpenSSH 在验证主机密钥时，会在特定情况下错误处理错误代码。要使攻击成功，攻击者需要先耗尽客户端的内存资源，这使得此攻击的复杂性变高。(CVE-2025-26465)

  - libexpat 库中存在一个堆栈溢出漏洞，这是由于它处理 XML 文档中的递归实体扩展的方式所致。解析带有深度嵌套实体引用的 XML 文档时，libexpat 可强制进行无限递归，从而耗尽堆栈空间并导致崩溃。此问题可导致拒绝服务 (DoS)，或在某些情况下导致可利用的内存损坏，具体取决于环境和库的使用情况。(CVE-2024-8176)

  - 已通过改进日志条目的隐私数据编辑解决隐私问题。此问题已在 macOS Ventura 13.7.6、macOS Sequoia 15.5、macOS Sonoma 14.7.6 中修复。应用程序或可访问敏感用户数据。(CVE-2025-24142)

  - 已通过改进浮点处理解决此问题。此问题已在中修复 tvOS 18.5、Safari 18.5、iPadOS 17.7.7、iOS 18.5 和 iPadOS 18.5、macOS Sequoia 15.5、watchOS 11.5、visionOS 2.5 中修复。类型混淆问题可导致内存损坏。(CVE-2025-24213)

  - 已通过改进内存处理解决此问题。此问题已在 macOS Sequoia 15.5 中修复。
    处理恶意构建的 Web 内容或可导致进程意外崩溃。(CVE-2025-24222)

请注意，Nessus 并未测试这些问题，而是只依据操作系统自我报告的版本号进行判断。

移动设备上运行的 Apple iOS 版本低于 18.5。因此该软件受到多个漏洞的影响。

远程 Debian 11 主机上安装的多个程序包受到 dla-4218 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4218-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 6 月 16 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：webkit2gtk 版本：2.48.3-1~deb11u1 CVE ID：CVE-2024-44192 CVE-2024-54467 CVE-2024-54551 CVE-2025-24201 CVE-2025-24208 CVE-2025-24209 CVE-2025-24213 CVE-2025-24216 CVE-2025-24223 CVE-2025-24264 CVE-2025-30427 CVE-2025-31204 CVE-2025-31205 CVE-2025-31206 CVE-2025-31215 CVE-2025-31257

    在 WebKitGTK Web 引擎中发现以下漏洞：

    CVE-2024-44192

        Tashita Software Security 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2024-54467

        Narendra Bhati 发现恶意网站可能会跨源泄露数据。

    CVE-2024-54551

        ajajfxhj 发现，处理 Web 内容可能会导致拒绝服务。

    CVE-2025-24201

        Apple 发现，恶意构建的 Web 内容可突破 Web Content 沙盒。

    CVE-2025-24208

        Muhammad Zaid Ghifari 和 Kalimantan Utara 发现，加载恶意 iframe 可能会导致跨站脚本攻击。

    CVE-2025-24209

        Francisco Alonso 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2025-24213

        Google V8 安全团队发现，一个类型混淆问题可能导致内存损坏。请注意，此 CVE 仅在 ARM 架构中得到修复。x86_64 不易受攻击，x86 在启用 SSE2 指令集时不易受攻击；但其他架构仍然容易受到影响。

    CVE-2025-24216

        Paul Bakker 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2025-24223

        rheza 和某匿名研究人员发现，处理恶意构建的 Web 内容可能会导致内存损坏。

    CVE-2025-24264

        Gary Kwong 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    CVE-2025-30427

        rheza 发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    CVE-2025-31204

        Nan Wang 发现，处理恶意构建的 Web 内容可能会导致内存损坏。

    CVE-2025-31205

        Ivan Fratric 发现，恶意网站可能会跨源泄露数据。

    CVE-2025-31206

        匿名研究人员发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2025-31215

        Jiming Wang 和 Jikai Ren 发现，处理恶意构建的 Web 内容可能会导致进程意外崩溃。

    CVE-2025-31257

        Juergen Schmied 发现，处理恶意构建的 Web 内容可能会导致进程意外崩溃。

    对于 Debian 11 bullseye，已在 2.48.3-1~deb11u1 版本中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
234140	Debian dsa-5899：gir1.2-javascriptcoregtk-4.0 - 安全更新	Nessus	Debian Local Security Checks	2025/4/10	2025/4/10	critical
251980	Linux Distros 未修补的漏洞：CVE-2025-24213	Nessus	Misc.	2025/8/19	2025/8/19	high
241427	RHEL 7：webkitgtk4 (RHSA-2025:10364)	Nessus	Red Hat Local Security Checks	2025/7/7	2025/10/21	critical
234345	Ubuntu 22.04 LTS / 24.04 LTS / 24.10：WebKitGTK 漏洞 (USN-7436-1)	Nessus	Ubuntu Local Security Checks	2025/4/15	2025/4/15	critical
252299	Amazon Linux 2：webkitgtk4 (ALAS-2025-2970)	Nessus	Amazon Linux Local Security Checks	2025/8/19	2025/8/19	medium
235718	macOS 15.x < 15.5 多个漏洞 (122716)	Nessus	MacOS X Local Security Checks	2025/5/12	2025/8/5	medium
235719	Apple iOS < 18.5 多个漏洞 (122404)	Nessus	Mobile Devices	2025/5/12	2025/11/3	critical
240076	Debian dla-4218：gir1.2-javascriptcoregtk-4.0 - 安全更新	Nessus	Debian Local Security Checks	2025/6/16	2025/6/16	high

检测

插件搜索

critical

high

critical

critical

medium

medium

critical

high