This update for webkit2gtk3 fixes the following issues :

Update to version 2.28.3 (bsc#1173998) :

  + Enable kinetic scrolling with async scrolling.

  + Fix web process hangs on large GitHub pages.

  + Bubblewrap sandbox should not attempt to bind empty     paths.

  + Fix threading issues in the media player.

  + Fix several crashes and rendering issues.

  + Security fixes: CVE-2020-9802, CVE-2020-9803,     CVE-2020-9805, CVE-2020-9806, CVE-2020-9807,     CVE-2020-9843, CVE-2020-9850, CVE-2020-13753.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Oracle Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2020-4451 advisory.

    - Backport fix for CVE-2020-15503 from Fedora     Resolves: #1853529

    libsoup

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

webkit2gtk Webエンジンに次の脆弱性が発見されました:

  - CVE-2020-9802  Samuel Gross氏は、悪意をもって細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があることを発見しました。

  - CVE-2020-9803 Wen Xu氏は、悪意をもって細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があることを発見しました。

  - CVE-2020-9805 匿名の研究者により、悪意をもって細工されたWebコンテンツを処理すると、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があることが発見されました。

  - CVE-2020-9806 Wen Xu氏は、悪意をもって細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があることを発見しました。

  - CVE-2020-9807 Wen Xu氏は、悪意をもって細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があることを発見しました。

  - CVE-2020-9843 Ryan Pickren氏は、悪意のある細工されたWebコンテンツを処理することで、クロスサイトスクリプティングが引き起こされる可能性があることを発見しました。

  - CVE-2020-9850 @jinmo123、@setuid0x0_,、および@insu_yun_enは、リモートの攻撃者が、任意のコードを実行する可能性があることを発見しました。

  - CVE-2020-13753 Mila Crha氏は、攻撃者がbubblewrapサンドボックス外でコマンドを実行できる可能性があることを発見しました。

このwebkit2gtk3用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題：

バージョン 2.28.3（bsc#1173998）に更新：

  + 非同期スクロールによる動的スクロールを有効にします。

  + 大きなGitHubページでのWebプロセスハングを修正します。

  + バブルラップサンドボックスは、空のパスのバインドを試行すべきではありません。

  + メディアプレーヤーのスレッド問題を修正します。

  + いくつかのクラッシュおよびレンダリングの問題を修正します。

  + セキュリティ修正：CVE-2020-9802、CVE-2020-9803、CVE-2020-9805、CVE-2020-9806、CVE-2020-9807、CVE-2020-9843、CVE-2020-9850、CVE-2020-13753。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのOracle Linux 8ホストに、ELSA-2020-4451アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - webkitgtk: 複数のメモリ破損の問題によって、任意のコードが実行される可能性があります (CVE-2019-8720 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、watchOS 6.1、Windows 11.0用のiCloudで修正されています。悪意を持って細工された Web コンテンツを処理すると、任意のコードが実行される可能性があります。(CVE-2019-8766)

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題は、tvOS 13、Windows 12.10.1用のiTunes、tvOS 10.7、Windows 7.14用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。 (CVE-2019-8625 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、Windows 11.0用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2019-8710)

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題はwatchOS 6.1で修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2019-8743)

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題はwatchOS 6.1で修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。 (CVE-2019-8764 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.2およびiPasOS 13.2、tvOS 13.2、watchOS 6.1、Safari 13.0.3、Windows 12.10.2用のiTunes で修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。 (CVE-2019-8808、CVE-2019-8812 )

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題は、iOS 13.2およびiPasOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 12.10.2用のiTunes 、Windows 11.0用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。 (CVE-2019-8813 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.2およびiPadOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 12.10.2用のiTunes、Windows 11.0用のiCloud、Windows 7.15用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2019-8783, CVE-2019-8814, CVE-2019-8815, CVE-2019-8819, CVE-2019-8823)

  - Webページ要素の描画に問題が存在します。この問題は、ロジックを改善することで対処されました。この問題は、iOS 13.1およびiPadOS 13.1、macOS Catalina 10.15で修正されています。悪意を持って細工されたWebサイトにアクセスすると、閲覧履歴が漏洩する可能性があります。 (CVE-2019-8769 )

  - この問題は、iframeサンドボックスの実施を改善することで対処されました。この問題は、Safari 13.0.1、iOS 13で修正されています。悪意を持って作成されたWebコンテンツは、iframeサンドボックスポリシーに違反する可能性があります。 (CVE-2019-8771 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.2およびiPasOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 12.10.2用のiTunes 、Windows 11.0用のiCloudで修正されています。
    悪意を持って細工された Web コンテンツを処理すると、任意のコードが実行される可能性があります。(CVE-2019-8782)

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.2およびiPadOS 13.2、tvOS 13.2、watchOS 6.1、Safari 13.0.3、Windows 12.10.2用のiTunes、Windows 11.0用のiCloud、Windows 7.15用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。 (CVE-2019-8811、CVE-2019-8816、CVE-2019-8820 )

  - 検証が改善され、ロジックの問題が対処されました。この問題は、Windows 7.17用のiCloud、Windows用のiTunes 12.10.4、Windows 10.9.2用のiCloud、tvOS 13.3.1、Safari 13.0.5、iOS 13.3.1、およびiPadOS 13.3.1で修正されています。DOMオブジェクトコンテキストに一意のセキュリティオリジンがない可能性があります。 (CVE-2020-3864 )

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.3.1およびiPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 12.10.4用のiTunes、Windows 11.0用のiCloud、Windows 7.17用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2020-3865, CVE-2020-3868)

  - 制限が改善され、ロジックの問題が対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。ファイルURLが不適切に処理される可能性があります。 (CVE-2020-3885 )

  - 追加の検証により、競合状態が対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。アプリケーションが制限されたメモリを読み取る可能性があります。 (CVE-2020-3894 )

  - 型の取り違えの問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。リモートの攻撃者が、任意のコードを実行する可能性があります。 (CVE-2020-3897 )

  - メモリ消費の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。リモートの攻撃者が、任意のコードを実行する可能性があります。
    (CVE-2020-3899)

  - 型の取り違えの問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2020-3901)

  - 入力検証が改善され、入力検証の問題が対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、クロスサイトスクリプティングが引き起こされる可能性があります。
    (CVE-2020-3902)

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、tvOS 13.3、Windows 10.9用のiCloud、iOS 13.3およびiPadOS 13.3、Safari 13.0.4、Windows用のiTunes 12.10.3、Windows 7.16用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2019-8835)

  - 複数のメモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、tvOS 13.3、watchOS 6.1.1、Windows 10.9用のiCloud、iOS 13.3およびiPadOS 13.3、Safari 13.0.4、Windows用のiTunes 12.10.3、Windows 7.16用のiCloudで修正されています。悪意を持って細工された Web コンテンツを処理すると、任意のコードが実行される可能性があります。(CVE-2019-8844)

  - メモリ管理を改善することで、メモリ解放後使用 (Use After Free ) の問題に対処しました。この問題は、tvOS 13.3、Windows 10.9用のiCloud、iOS 13.3およびiPadOS 13.3、Safari 13.0.4、Windows用のiTunes 12.10.3、Windows 7.16用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2019-8846)

  - サービス拒否の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.3.1およびiPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 12.10.4用のiTunes、Windows 11.0用のiCloud、Windows 7.17用のiCloudで修正されています。悪意のあるWebサイトが、サービス拒否を引き起こす可能性があります。 (CVE-2020-3862 )

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題は、iOS 13.3.1およびiPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 12.10.4用のiTunes、Windows 11.0用のiCloud、Windows 7.17用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。
    (CVE-2020-3867)

  - メモリ破損の問題が、メモリ処理を改善することで対処されました。この問題は、iOS 13.4およびiPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 12.10.5用のiTunes、Windows 10.9.3用のiCloud、Windows 7.18用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2020-3895, CVE-2020-3900)

  - 細工されたWebコンテンツを介した2.28.1以前のWebKitGTKおよび2.28.1以前のWPE WebKitに、メモリ解放後使用 (Use After Free ) の問題が存在します。これにより、リモートの攻撃者が任意のコードを実行したり、サービス拒否 (メモリ破損やアプリケーションのクラッシュ ) を引き起こす可能性があります。 (CVE-2020-11793 )

  - 2.26.4までのWebKitGTKおよび2.26.4までのWPE WebKit (2.28.0の直前のバージョン ) に、任意のコード実行を引き起こす可能性があるメモリ破損の問題 (メモリ解放後使用 (Use After Free ) が含まれています。この問題は2.28.0で修正され、メモリ処理が改善されました。 (CVE-2020-10018 )

  - 状態管理を改善することで、メモリ破損の問題に対処しました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。 (CVE-2020-9806、CVE-2020-9807 )

  - 制限が改善され、ロジックの問題が対処されました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。リモートの攻撃者が、任意のコードを実行する可能性があります。 (CVE-2020-9850 )

  - 領域外読み取りは、入力検証の改善により対応されました。この問題は、iOS 13.6およびiPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 12.10.8用のiTunes、Windows 11.3用のiCloud、Windows 7.20用のiCloudで修正されています。リモートの攻撃者は、アプリケーションを予期せず終了させたり、任意のコードを実行したりする可能性があります。 (CVE-2020-9894 )

  - メモリ管理を改善することで、メモリ解放後使用 (Use After Free ) の問題に対処しました。この問題は、iOS 13.6およびiPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 12.10.8用のiTunes、Windows 11.3用のiCloud、Windows 7.20用のiCloudで修正されています。リモートの攻撃者は、アプリケーションを予期せず終了させたり、任意のコードを実行したりする可能性があります。 (CVE-2020-9893、CVE-2020-9895 )

  - コンテンツセキュリティポリシーに存在するアクセスの問題。- アクセス制限を改善することで、この問題に対処しました。この問題は、iOS 13.6およびiPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 12.10.8用のiTunes、Windows 11.3用のiCloud、Windows 7.20用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理することで、コンテンツセキュリティポリシー (CSP ) の実施が妨げられる可能性があります。CVE-2020-9915 )

  - gnome-settings-daemon: ユーザーがGNOMEコントロールセンターを介して登録する際にコマンドライン引数としてログインし、渡されたRed Hatのカスタマーポータルパスワード (CVE-2020-14391 )

  - 制限が改善され、ロジックの問題が対処されました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。悪意を持って細工されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。
    (CVE-2020-9802)

  - 検証を改善することで、メモリ破損の問題に対処しました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。悪意を持って細工された Web コンテンツを処理すると、任意のコードが実行される可能性があります。(CVE-2020-9803)

  - 制限が改善され、ロジックの問題が対処されました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。
    (CVE-2020-9805)

  - 入力検証を改善することで、入力検証の問題に対処しました。この問題は、iOS 13.5およびiPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 12.10.7用のiTunes、Windows 11.2用のiCloud、Windows 7.19用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、クロスサイトスクリプティングが引き起こされる可能性があります。 (CVE-2020-9843 )

  - Webインスペクターに存在するコマンドインジェクションの問題。- エスケープを改善することで、この問題に対処しました。この問題は、iOS 13.6およびiPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 12.10.8用のiTunes、Windows 11.3用のiCloud、Windows 7.20用のiCloudで修正されています。WebインスペクターからURLをコピーすると、コマンドインジェクションが発生する可能性があります。 (CVE-2020-9862 )

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題は、iOS 13.6およびiPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 12.10.8用のiTunes、Windows 11.3用のiCloud、Windows 7.20用のiCloudで修正されています。悪意のある細工されたWebコンテンツを処理することで、ユニバーサルクロスサイトスクリプティングが引き起こされる可能性があります。 (CVE-2020-9925 )

  - 0.20-RC1より前のLibRawに、サムネイルサイズ範囲のチェックがありません。これは、decoders/unpack_thumb.cpp、postprocessing/mem_image.cpp、およびutils/thumb_utils.cppに影響します。たとえば、T.tlengthを検証しなくてもmalloc (sizeof (libraw_processed_image_t ) +T.tlength ) が発生します。 (CVE-2020-15503 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

在 webkit2gtk Web 引擎中发现以下漏洞：

  - CVE-2020-9802 Samuel Gross 发现处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2020-9803 Wen Xu 发现处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2020-9805 某位匿名研究人员发现处理恶意构建的 Web 内容可能会导致通用跨站脚本。

  - CVE-2020-9806 Wen Xu 发现处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2020-9807 Wen Xu 发现处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2020-9843 Ryan Pickren 发现处理恶意构建的 Web 内容可能会导致跨站脚本攻击。

  - CVE-2020-9850 @jinmo123、@setuid0x0_ 和 @insu_yun_en 发现远程攻击者可能会造成任意代码执行。

  - CVE-2020-13753 Milan Crha 发现攻击者可能会在 bubblewrap 沙盒外执行命令。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-4451 公告中提及的多个漏洞的影响。

  - webkitgtk：多个内存损坏问题可导致任意代码执行 (CVE-2019-8720)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 watchOS 6.1、Windows 版 iCloud 11.0 中修复。- 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2019-8766)

  - 已通过改进的状态管理解决逻辑问题。此问题已在 tvOS 13、Windows 版 iTunes 12.10.1、Windows 版 iCloud 10.7、Windows 版 iCloud 7.14 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2019-8625)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 Windows 版 iCloud 11.0 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2019-8710)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 watchOS 6.1 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2019-8743)

  - 已通过改进的状态管理解决逻辑问题。此问题已在 watchOS 6.1 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2019-8764)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 iOS 13.2 和 iPadOS 13.2、tvOS 13.2、watchOS 6.1、Safari 13.0.3、Windows 版 iTunes 12.10.2 中修复。- 处理恶意构建的 Web 内容可能会导致任意代码执行。（CVE-2019-8808、CVE-2019-8812）

  - 已通过改进的状态管理解决逻辑问题。此问题已在 iOS 13.2 和 iPadOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 版 iTunes 12.10.2、Windows 版 iCloud 11.0 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2019-8813)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 iOS 13.2 和 iPadOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 版 iTunes 12.10.2、Windows 版 iCloud 11.0、Windows 版 iCloud 7.15 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2019-8783、CVE-2019-8814、CVE-2019-8815、CVE-2019-8819、CVE-2019-8823)

  - 网页元素绘制中存在问题。已通过改进的逻辑解决此问题。此问题已在 iOS 13.1 和 iPadOS 13.1、macOS Catalina 10.15 中修复。浏览恶意构建的网站可能会泄露浏览历史记录。(CVE-2019-8769)

  - 此问题已通过改进的 iframe 沙盒执行解决。此问题已在 Safari 13.0.1、iOS 13 中修复。恶意构建的 Web 内容可能会违反 iframe 沙盒策略。(CVE-2019-8771)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 iOS 13.2 和 iPadOS 13.2、tvOS 13.2、Safari 13.0.3、Windows 版 iTunes 12.10.2、Windows 版 iCloud 11.0 中修复。
    - 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2019-8782)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 iOS 13.2 和 iPadOS 13.2、tvOS 13.2、watchOS 6.1、Safari 13.0.3、Windows 版 iTunes 12.10.2、Windows 版 iCloud 11.0、Windows 版 iCloud 7.15 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。（CVE-2019-8811、CVE-2019-8816、 CVE-2019-8820）

  - 已通过改进的验证解决逻辑问题。此问题已在 iCloud for Windows 7.17、Windows 版 iTunes 12.10.4、Windows 版 iCloud 10.9.2、tvOS 13.3.1、Safari 13.0.5、iOS 13.3.1 和 iPadOS 13.3.1 中修复。DOM 对象上下文可能没有唯一安全源。(CVE-2020-3864)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 iOS 13.3.1 和 iPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 版 iTunes 12.10.4、Windows 版 iCloud 11.0、Windows 版 iCloud 7.17 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2020-3865、CVE-2020-3868)

  - 已通过改进的限制解决逻辑问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。可能未正确处理文件 URL。(CVE-2020-3885)

  - 已通过额外验证解决争用条件。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。应用程序或可读取受限内存。(CVE-2020-3894)

  - 已通过改进的内存处理解决类型混淆问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。远程攻击者或可造成任意代码执行。（CVE-2020-3897）

  - 已通过改进的内存处理解决内存消耗问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。远程攻击者或可造成任意代码执行。
    (CVE-2020-3899)

  - 已通过改进的内存处理解决类型混淆问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2020-3901)

  - 已通过改进的输入验证解决输入验证问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。处理恶意构建的 Web 内容可能会导致跨站脚本攻击。
    (CVE-2020-3902)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 tvOS 13.3、Windows 版 iCloud 10.9、iOS 13.3 和 iPadOS 13.3、Safari 13.0.4、Windows 版 iTunes 12.10.3、Windows 版 iCloud 7.16 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2019-8835)

  - 已通过改进的内存处理解决多个内存损坏问题。此问题已在 tvOS 13.3、watchOS 6.1.1、Windows 版 iCloud 10.9、iOS 13.3 和 iPadOS 13.3、Safari 13.0.4、Windows 版 iTunes 12.10.3、Windows 版 iCloud 7.16 中修复。- 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2019-8844)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 tvOS 13.3、Windows 版 iCloud 10.9、iOS 13.3 和 iPadOS 13.3、Safari 13.0.4、Windows 版 iTunes 12.10.3、Windows 版 iCloud 7.16 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2019-8846)

  - 已通过改进的内存处理解决拒绝服务问题。此问题已在 iOS 13.3.1 和 iPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 版 iTunes 12.10.4、Windows 版 iCloud 11.0、Windows 版 iCloud 7.17 中修复。恶意网站或可造成拒绝服务。(CVE-2020-3862)

  - 已通过改进的状态管理解决逻辑问题。此问题已在 iOS 13.3.1 和 iPadOS 13.3.1、tvOS 13.3.1、Safari 13.0.5、Windows 版 iTunes 12.10.4、Windows 版 iCloud 11.0、Windows 版 iCloud 7.17 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。
    (CVE-2020-3867)

  - 已通过改进的内存处理解决内存损坏问题。此问题已在 iOS 13.4 和 iPadOS 13.4、tvOS 13.4、watchOS 6.2、Safari 13.1、Windows 版 iTunes 12.10.5、Windows 版 iCloud 10.9.3、Windows 版 iCloud 7.18 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2020-3895、CVE-2020-3900)

  - WebKitGTK 2.28.1 之前版本和 WPE WebKit 2.28.1 之前版本中存在释放后使用问题，远程攻击者可利用此问题，通过构建的 Web 内容执行任意代码或造成拒绝服务（内存破坏和应用程序崩溃）。 (CVE-2020-11793)

  - WebKitGTK 2.26.4 及其之前版本和 WPE WebKit 2.26.4 及其之前版本（2.28.0 之前版本）包含内存损坏问题（释放后使用），可能导致任意代码执行。已通过改进的内存处理在 2.28.0 中修复此问题。(CVE-2020-10018)

  - 已通过改进的状态管理解决内存损坏问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。- 处理恶意构建的 Web 内容可能会导致任意代码执行。（CVE-2020-9806、CVE-2020-9807）

  - 已通过改进的限制解决逻辑问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。远程攻击者或可造成任意代码执行。（CVE-2020-9850）

  - 通过改进的输入验证解决越界读取问题。此问题已在 iOS 13.6 和 iPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 版 iTunes 12.10.8、Windows 版 iCloud 11.3、Windows 版 iCloud 7.20 中修复。远程攻击者也许能够造成意外的应用程序终止或任意代码执行。(CVE-2020-9894)

  - 已通过改进的内存管理解决释放后使用问题。此问题已在 iOS 13.6 和 iPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 版 iTunes 12.10.8、Windows 版 iCloud 11.3、Windows 版 iCloud 7.20 中修复。远程攻击者也许能够造成意外的应用程序终止或任意代码执行。（CVE-2020-9893、CVE-2020-9895）

  - 内容安全策略中存在访问权限问题。此问题已通过改进访问权限限制解决。此问题已在 iOS 13.6 和 iPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 版 iTunes 12.10.8、Windows 版 iCloud 11.3、Windows 版 iCloud 7.20 中修复。处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。(CVE-2020-9915)

  - gnome-settings-daemon：用户通过 GNOME 控制中心注册时，Red Hat Customer Portal 密码已被记录并作为命令行参数传递 (CVE-2020-14391)

  - 已通过改进的限制解决逻辑问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。
    (CVE-2020-9802)

  - 已通过改进的验证解决内存损坏问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。- 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9803)

  - 已通过改进的限制解决逻辑问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。
    (CVE-2020-9805)

  - 已通过改进的输入验证解决输入验证问题。此问题已在 iOS 13.5 和 iPadOS 13.5、tvOS 13.4.5、watchOS 6.2.5、Safari 13.1.1、Windows 版 iTunes 12.10.7、Windows 版 iCloud 11.2、Windows 版 iCloud 7.19 中修复。处理恶意构建的 Web 内容可能会导致跨站脚本攻击。(CVE-2020-9843)

  - Web Inspector 中存在命令注入问题。此问题已通过改进逃逸解决。此问题已在 iOS 13.6 和 iPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 版 iTunes 12.10.8、Windows 版 iCloud 11.3、Windows 版 iCloud 7.20 中修复。从 Web Inspector 复制 URL 可能导致命令注入。(CVE-2020-9862)

  - 已通过改进的状态管理解决逻辑问题。此问题已在 iOS 13.6 和 iPadOS 13.6、tvOS 13.4.8、watchOS 6.2.8、Safari 13.1.2、Windows 版 iTunes 12.10.8、Windows 版 iCloud 11.3、Windows 版 iCloud 7.20 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2020-9925)

  - 0.20-RC1 之前的 LibRaw 缺少缩略图大小范围检查。这会影响 decoders/unpack_thumb.cpp、postprocessing/mem_image.cpp 和 utils/thumb_utils.cpp。例如，发生 malloc(sizeof(libraw_processed_image_t)+T.tlength)，但未验证 T.tlength。(CVE-2020-15503)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	Name	Product	Family	Published	Updated	Severity
139172	SUSE SLES12 Security Update : webkit2gtk3 (SUSE-SU-2020:2069-1)	Nessus	SuSE Local Security Checks	7/30/2020	5/12/2022	critical
142763	Oracle Linux 8 : GNOME (ELSA-2020-4451)	Nessus	Oracle Linux Local Security Checks	11/12/2020	11/1/2024	critical
241427	RHEL 7 : webkitgtk4 (RHSA-2025:10364)	Nessus	Red Hat Local Security Checks	7/7/2025	10/21/2025	critical
138644	Debian DSA-4724-1: webkit2gtk - セキュリティ更新	Nessus	Debian Local Security Checks	7/20/2020	2/29/2024	critical
139172	SUSE SLES12セキュリティ更新プログラム：webkit2gtk3（SUSE-SU-2020:2069-1）	Nessus	SuSE Local Security Checks	7/30/2020	5/12/2022	critical
142763	Oracle Linux 8：GNOME (ELSA-2020-4451 )	Nessus	Oracle Linux Local Security Checks	11/12/2020	11/1/2024	critical
241427	RHEL 7 : webkitgtk4 (RHSA-2025:10364)	Nessus	Red Hat Local Security Checks	7/7/2025	10/21/2025	critical
138644	Debian DSA-4724-1：webkit2gtk - 安全更新	Nessus	Debian Local Security Checks	7/20/2020	2/29/2024	critical
142763	Oracle Linux 8：GNOME (ELSA-2020-4451)	Nessus	Oracle Linux Local Security Checks	11/12/2020	11/1/2024	critical
241427	RHEL 7：webkitgtk4 (RHSA-2025:10364)	Nessus	Red Hat Local Security Checks	7/7/2025	10/21/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical