چکیده

آسیب‌پذیری در WebKitGTK به‌دلیل ضعف در اعتبارسنجی منشأ عملیات drag‑and‑drop رخ می‌دهد. در این حالت، یک وب‌سایت مخرب می‌تواند کاربر را ترغیب کند تا فایلی را داخل مرورگر بکشد و چون WebKitGTK بررسی نمی‌کند که این عملیات از خارج مرورگر آغاز شده است، محتوای هر فایلی که کاربر اجازه خواندن آن را دارد، می‌تواند توسط صفحه مخرب از طریق جاوااسکریپت استخراج شود. این ضعف منجر به افشای فایل‌های حساس، داده‌های شخصی یا کلیدهای خصوصی می‌شود و محرمانگی سیستم را به‌طور جدی تهدید می‌کند.

توضیحات

آسیب‌پذیری CVE-2025-13947 در WebKitGTK، موتور رندرینگ وب مبتنی بر WebKit برای محیط‌های GTK (GIMP Toolkit)، به دلیل ضعف در اعتبارسنجی منشأ عملیات drag-and-drop فایل‌ها است. این ضعف اجازه می‌دهد یک وب‌سایت مخرب، با کمک کاربر و از راه دور، اطلاعات حساس سیستم کاربر را افشا کند. مکانیزم آسیب‌پذیری به این صورت است که WebKitGTK بررسی نمی‌کند آیا عملیات کشیدن فایل (drag) از یک برنامه خارجی آغاز شده است یا از داخل صفحه وب. در نتیجه، یک صفحه وب مخرب می‌تواند کاربر را به انجام یک عمل ساده، مانند کشیدن فایل از دسکتاپ به المنت HTML صفحه، ترغیب کند. مرورگر بدون بررسی منشأ فایل، محتوای آن را در اختیار جاوااسکریپت سمت کلاینت قرار می‌دهد. این فرآیند می‌تواند هر فایلی را که کاربر مجوز خواندن آن را دارد، افشا کند. مهاجم می‌تواند محتوای فایل‌ها را از طریق APIهای مرورگر، مانند Fetch API یا XMLHttpRequest، به سرور خود منتقل نماید (exfiltration).

پیامدهای بهره‌برداری موفق از این آسیب‌پذیری شامل افشای اطلاعات شخصی، کلیدهای رمزنگاری، اسناد حساس و اطلاعات سازمانی است که می‌تواند منجر به حملاتی مانند سرقت هویت، مهندسی اجتماعی و نفوذ به سیستم‌های دیگر شود. این حمله نیاز به تعامل کاربر دارد اما این تعامل می‌تواند بسیار ساده و فریبنده باشد.

RHEL 8 و RHEL 9 تا نسخه‌های خاص webkit2gtk3 آسیب‌پذیر بودند و برای آن‌ها پچ امنیتی مبتنی بر upstream نسخه 2.50.3 منتشر شده است. این پچ در بسته‌های Red Hat برای این نسخه‌ها اعمال شده است. در RHEL 7، تمام نسخه‌های webkitgtk3 آسیب‌پذیر هستند و Red Hat برنامه‌ای برای ارائه پچ ندارد. همچنین نسخه‌های webkitgtk4 در RHEL 7 نیز آسیب‌پذیر باقی می‌مانند. RHEL 6 خارج از چرخه پشتیبانی است و پچ امنیتی برای این نسخه‌ها منتشر نخواهد شد. بنابراین، سیستم‌های RHEL 7 و RHEL 6 همچنان در معرض ریسک هستند. توصیه می‌شود کاربران از نسخه‌های پشتیبانی‌شده RHEL استفاده کنند که شامل پچ‌های امنیتی لازم هستند.

CVSS

Score	Severity	Version	Vector String
7.4	HIGH	3.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

لیست محصولات آسیب پذیر

Versions	Product
All versions prior to patched release	Red Hat Enterprise Linux 8, 9
All versions are affected (Will not fix)	Red Hat Enterprise Linux 7

لیست محصولات بروز شده

Versions	Product
unaffected from 0:2.50.3-1.el8_10	Red Hat Enterprise Linux 8
unaffected from 0:2.50.3-1.el9_7	Red Hat Enterprise Linux 9
Out of support scope	Red Hat Enterprise Linux 6

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که WebKitGTK را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
2,370	site:.ir “WebKitGTK”	WebKitGTK

نتیجه گیری

این آسیب‌پذیری با شدت بالا در WebKitGTK امکان افشای اطلاعات حساس از فایل‌های لوکال را از طریق سوءاستفاده از مکانیزم drag‑and‑drop فراهم می‌کند. یک صفحه وب مخرب می‌تواند کاربر را به یک عمل ساده‌ی drag ترغیب کند و به دلیل عدم اعتبارسنجی منشأ عملیات، به محتوای هر فایلی که کاربر مجوز خواندن آن را دارد دسترسی یابد. با توجه به انتشار پچ‌های امنیتی upstream و Red Hat، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش سطح ریسک ضروری است:

• به‌روزرسانی فوری: تمام سیستم‌های مبتنی بر WebKitGTK را به نسخه 2.50.3 یا بالاتر ارتقا دهید. برای RHEL 8 و 9RHEL پچ‌های RHSA-2025:22789 و RHSA-2025:22790 را اعمال کنید. برای RHEL 7، استفاده از نسخه‌های پشتیبانی‌شده توصیه می‌شود. این اقدام اصلی‌ترین و مؤثرترین راهکار است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• محدودسازی یا غیرفعال‌سازی drag-and-drop: در برنامه‌های مبتنی بر GTK ، ویژگی drag-and-drop را برای المنت های HTML محدود کنید. از APIهای مرورگر برای جلوگیری از drag داخلی استفاده نمایید یا سیاست‌های محتوا (CSP) را برای مسدود کردن دسترسی به File API تنظیم کنید.
• آموزش کاربران: کاربران را در مورد ریسک‌های تعامل با المنت های drag-and-drop در وب‌سایت‌های ناشناخته آموزش دهید و از ابزارهای آموزشی مانند شبیه‌سازی حملات فیشینگ برای افزایش آگاهی استفاده کنید.
• نظارت و ثبت لاگ: لاگ‌های مرورگر و سیستم را با ابزارهایی مانند SELinux مانیتور کنید تا تلاش‌های دسترسی غیرمجاز به فایل‌ها شناسایی شود؛ هشدارهای خودکار برای عملیات drag مشکوک تنظیم نمایید. همچنین، عملکردهای غیرعادی دسترسی به فایل‌ها را در سطح سیستم ثبت و تحلیل نمایید.
• ایزوله‌سازی مرورگر: مرورگرها را در محیط‌های ایزوله مانند Firejail یا Flatpak اجرا کنید. با استفاده از AppArmor یا SELinux، دسترسی مرورگر به فایل‌سیستم را محدود کنید تا حتی در صورت drag، خواندن فایل‌های حساس غیرممکن باشد.

اجرای این اقدامات، به‌ویژه به‌روزرسانی سریع و آموزش کاربران، ریسک بهره‌برداری از این آسیب پذیری را به حداقل می‌رساند، امنیت کلی سیستم های مبتنی بر WebKitGTK افزایش می دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

سناریو به تعامل کاربر وابسته است؛ مهاجم از یک صفحه وب مخرب استفاده می‌کند تا کاربر را به کشیدن یک فایل از دسکتاپ یا اپلیکیشن‌های خارج از مرورگر روی یک المنت HTML ترغیب کند. این تعامل حداقلی، نقطه ورود منطقی برای دسترسی غیرمستقیم به اطلاعات محلی است و باید با کنترل‌های سمت کاربر و محدودسازی DnD در لایه اپلیکیشن کاهش یابد.

Credential Access (TA0006)

افشای فایل‌های حاوی کلیدهای رمزنگاری، کوکی‌ها، session tokens یا credential stores در سطح کاربر ممکن است.

Collection (TA0009)

مرورگر محتوای فایل را به‌طور کامل در اختیار جاوااسکریپت قرار می‌دهد و مهاجم می‌تواند داده‌ها را به‌صورت مستقیم در بافرها ذخیره، قطعه‌بندی و آماده ارسال کند.

Exfiltration (TA0010)

مهاجم از API هایی مانند Fetch یا XMLHttpRequest برای ارسال محتوای فایل‌های لوکال به سرور خود استفاده می‌کند.

Impact (TA0040)

مهاجم می‌تواند فایل‌های حساس، اسناد داخلی، اطلاعات هویتی یا کلیدها را استخراج کند که منجر به افشای گسترده داده و امکان‌سازی برای حملات زنجیره‌ای account takeover، phishing پیشرفته و نفوذ ثانویه می‌شود. این ضعف برخلاف سادگی تعامل، اثرگذاری عمیقی دارد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-13947
2. https://www.cvedetails.com/cve/CVE-2025-13947/
3. https://access.redhat.com/security/cve/CVE-2025-13947
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-13947
5. https://vuldb.com/?id.334165
6. https://bugzilla.redhat.com/show_bug.cgi?id=2418576
7. https://nvd.nist.gov/vuln/detail/CVE-2025-13947