CVE-2021-42762
Açıklama
WebKitGTK ve WPE WebKit'in 2.34.1 öncesindeki sürümlerinde bulunan BubblewrapLauncher.cpp, dosya sistemi ad alanını manipüle eden VFS sistem çağrılarını kötüye kullanarak, kum havuzu içindeki bir işlemin ana süreçleri kendisinin kum havuzuyla sınırlandırılmadığına ikna etmesine olanak tanıyan sınırlı bir sandbox bypass açığına izin verir. Etki, yalnızca WebKit'in kum havuzu içine bağladığı UNIX soketlerini oluşturan ana servislerle sınırlıdır ve kum havuzu içindeki işlem bunun dışında sınırlandırılmış kalmaya devam eder. NOT: bu durum CVE-2021-41133 ile benzerdir.
Nasıl düzeltilir
- webkitgtk webkitgtk2.34.1 ya da sonraki bir sürüm
- wpewebkit wpe_webkit2.34.1 ya da sonraki bir sürüm
- debian.org/security/2021/dsa-4995
- debian.org/security/2021/dsa-4996
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/M5J2LZQTDX53DNSKSGU7TQYCO2HKSTY4/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ON5SDVVPVPCAGFPW2GHYATZVZYLPW2L4/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H6MGXCX7P5AHWOQ6IRT477UKT7IS4DAD/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| webkitgtk webkitgtk | v < 2.34.1 | 2.34.1 |
| wpewebkit wpe_webkit | v < 2.34.1 | 2.34.1 |
| fedoraproject fedora | 33, 34, 35 | — |
| debian debian_linux | 10.0, 11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.