2022-2908: WPE WebKit, WebKitGTK: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2022-12-23 11:59)

Neues Advisory

Version 2 (2022-12-27 08:50)

Für Fedora 37 steht ein Sicherheitsupdate in Form des Pakets 'webkitgtk-2.38.3-2.fc37' im Status 'testing' bereit, um die Schwachstellen zu beheben. Das jüngste WebKit Security Advisory WSA-2022-0011 führt zusätzlich die Schwachstellen CVE-2022-42863 und CVE-2022-46691 auf, welche aber bereits mit den WebKitGTK und WPE WebKit Versionen 2.38.0 und 2.38.1 behoben wurden.

Version 3 (2022-12-30 16:52)

Für SUSE Enterprise Storage 7 und 7.1, die SUSE Linux Enterprise Produkte High Performance Computing 15 SP2 LTSS, 15 SP3 ESPOS und 15 SP3 LTSS, Realtime Extension 15 SP3, Server 15 SP2 LTSS und 15 SP3 LTSS, Server for SAP 15 SP2 und 15 SP3, SUSE Manager Proxy 4.1 und 4.2, SUSE Manager Retail Branch Server 4.1 und 4.2, SUSE Manager Server 4.1und 4.2 sowie openSUSE Leap 15.4 stehen Sicherheitsupdates auf die 'webkit2gtk3' Version 2.38.3 zur Behebung der referenzierten Schwachstellen bereit.

Version 4 (2023-01-02 09:10)

Für Debian 11 Bullseye (stable) stehen Sicherheitsupdates für 'webkit2gtk' und 'wpewebkit' jeweils in Version 2.38.3-1~deb11u1 bereit, um die Schwachstellen zu beheben, wobei CVE-2022-42863 und CVE-2022-46691 nicht referenziert werden, welche bereits mit den Versionen Versionen 2.38.0 und 2.38.1 behoben wurden.

Version 5 (2023-01-02 09:18)

Für SUSE CaaS Platform 4.0, SUSE Enterprise Storage 6, SUSE Linux Enterprise High Performance Computing 15 SP1 LTSS, SUSE Linux Enterprise Server 15 SP1 LTSS und SUSE Linux Enterprise Server for SAP 15 SP1 stehen Sicherheitsupdates auf die 'webkit2gtk3' Version 2.38.3 zur Behebung der referenzierten Schwachstellen bereit.

Version 6 (2023-01-11 09:32)

Das Sicherheitsupdate für 'webkit2gtk3' auf Version 2.38.3 steht jetzt auch für SUSE Linux Enterprise Server 12 SP2 BCL, 12 SP4 LTSS und 12 SP5, SUSE Linux Enterprise Server for SAP 12 SP4, SUSE Linux Enterprise Server for SAP Applications 12 SP5, SUSE Linux Enterprise Software Development Kit 12 SP5 sowie SUSE OpenStack Cloud 9 und SUSE OpenStack Cloud Crowbar 9 bereit.

Version 7 (2023-01-19 13:33)

Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'webkit2gtk' auf die Version 2.38.3 bereit, um die referenzierten Schwachstellen zu beheben.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers.

Das WebKitGTK-Team veröffentlicht WebKitGTK 2.38.3 als 'Bug Fix Release' zur Behebung der Schwachstellen.

Für Fedora 36 steht ein Sicherheitsupdate in Form des Pakets 'webkit2gtk3-2.38.3-1.fc36' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2022-42852

Schwachstelle in WebKit ermöglicht Ausspähen von Informationen

CVE-2022-42856

Schwachstelle in WebKit ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-42867

Schwachstelle in WebKit ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-46691

Schwachstelle in WebKit ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-46692

Schwachstelle in WebKit ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-46698

Schwachstelle in WebKit ermöglicht Ausspähen von Informationen

CVE-2022-46699 CVE-2022-42863

Schwachstellen in WebKit ermöglichen Ausführen beliebigen Programmcodes

CVE-2022-46700

Schwachstelle in WebKit ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.