[TLP:CLEAR] WebKitGTK a WPE WebKit opravují 3 zranitelnosti
WebKitGTK a WPE WebKit verzí 2.48.0 opravují 3 zranitelnosti [1][2], z toho jednu aktivně zneužívanou [3]. Operační systémy Apple a jejich nejnovější opravené verze: macOS - 15.3.2 [4], iOS a iPadOS - 18.3.2 [5], Safari - 18.3.1 [6], visionOS - 2.3.2 [7], tvOS - 18.3.1 [8], watchOS - 11.3.1 [9]. Jednotlivá vydání Debianu a opravené verze produktu [10][11][12]: bookworm (security) - 2.48.0-1~deb12u1 (balíček webkit2gtk), trixie, sid - 2.48.0-1 (balíčky webkit2gtk a wpewebkit). Pro CVE-2025-24201 má opravy k dispozici také Red Hat [13].
Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno uniknout z Web Content sandboxu. Společnost Apple si je vědoma možného aktivního zneužívání této zranitelnosti v rámci specificky cílených, vysoce sofistikovaných útoků [1][2][12]. O opravě této zranitelnosti v rámci operačních systémů Apple jsme informovali již dříve [13].
Zranitelnost se nachází v produktech:
- WebKitGTK ve verzích <2.48.0
- WPE WebKit ve verzích <2.46.7
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-24201 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-787: Out-of-bounds Write at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 3. 2025.
Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství skrze škodlivý webový obsah umožněno vykonat útok DoS [1][2][14].
Zranitelnost se nachází v produktech:
- WebKitGTK ve verzích <2.48.0
- WPE WebKit ve verzích <2.48.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-44192 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-400: Uncontrolled Resource Consumption at cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli chybě v řízení cookies umožněno pomocí sociálního inženýrství exfiltrovat data napříč doménami (cross-origin) [1][2][15].
Zranitelnost se nachází v produktech:
- WebKitGTK ve verzích <2.48.0
- WPE WebKit ve verzích <2.48.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Více informací:
- CVE-2024-54467 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor at cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2025.
Odkazy
- [1] https://webkitgtk.org/security/WSA-2025-0002.html
- [2] https://wpewebkit.org/security/WSA-2025-0002.html
- [3] https://www.cisa.gov/news-events/alerts/2025/03/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
- [4] https://support.apple.com/en-us/122283
- [5] https://support.apple.com/en-us/122281
- [6] https://support.apple.com/en-us/122285
- [7] https://support.apple.com/en-us/122284
- [8] https://support.apple.com/en-us/100100
- [9] https://security-tracker.debian.org/tracker/CVE-2025-24201
- [10] https://security-tracker.debian.org/tracker/CVE-2024-44192
- [11] https://security-tracker.debian.org/tracker/CVE-2024-54467
- [12] https://access.redhat.com/security/cve/cve-2025-24201
- [13] https://va2am.cesnet.cz/reports/405
- [14] https://nvd.nist.gov/vuln/detail/CVE-2024-44192
- [15] https://nvd.nist.gov/vuln/detail/CVE-2024-54467
Za CESNET-CERTS Michaela Ručková dne 24. 3. 2025.
