Debian DLA-3149-1：ruby-nokogiri - LTS 安全性更新

critical Nessus Plugin ID 166069

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 10 主機上安裝的一個套件受到 dla-3149 公告中提及的多個弱點影響。

- Nokogiri v1.10.3 和更低版本存在命令插入弱點，此弱點允許攻擊者透過 Ruby 的「Kernel.open」方法在子處理程序中執行命令。只有在以不安全的使用者輸入作爲檔案名稱的情況下呼叫未記錄的方法「Nokogiri：: CSS: : Tokenizer#load_file」時，處理程序才產生弱點。此弱點出現在 Rexical gem v1.0.6 版和更舊版本產生的程式碼中。Nokogiri 使用 Rexical 來產生詞法掃描程式碼，用於剖析 CSS 查詢。此基礎弱點已在 Rexical v1.0.7 中解決，Nokogiri 已在 Nokogiri v1.10.4 中升級至此版本的 Rexical。
(CVE-2019-5477)

- Nokogiri 是爲 HTML、XML、SAX 和 Reader 剖析器提供 XPath 和 CSS 選擇器支援的 Rubygem。在 1.11.0.rc4 版之前的 Nokogiri 中發現 XXE 弱點。程式依預設信任使用 Nokogiri: : XML: : Schema 剖析的 XML Schema，這允許攻擊者透過網路存取外部資源，進而可能發動 XXE 或 SSRF 攻擊。此行為與 Nokogiri 維護者遵循的安全性原則相反，該原則會依預設盡可能將所有輸入視為不受信任的輸入。此問題已在 Nokogiri 1.11.0.rc4 版中修正。(CVE-2020-26247)

- Nokogiri 是適用於 Ruby 的開放原始碼 XML 和 HTML 程式庫。Nokogiri 1.13.4 版本中包含一個低效的規則運算式，當嘗試在 HTML 文件中偵測編碼時，該運算式容易受到過度回溯影響。建議使用者升級到 Nokogiri 1.13.4 及更高版本。目前沒有任何因應措施可解決此問題。(CVE-2022-24836)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。