Amazon Linux 2：jsoup (ALAS-2024-2466)

medium Nessus Plugin ID 190691

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 jsoup 版本為 1.6.1-10 之前的版本。因此，會受到 ALAS2-2024-2466 公告中提及的一個弱點影響。

- jsoup 是一種 Java HTML 剖析器，專為 HTML 編輯、清理、抓取和跨網站指令碼 (XSS) 安全而構建。jsoup 可能會錯誤清理包含「javascript: 」URL 運算式的 HTML，這允許在讀者隨後點擊該連結時觸發 XSS 攻擊。如果啟用非預設的「SafeList.preserveRelativeLinks」選項，則不會對包含使用控製字元特製「javascript:」URL 的 HTML 進行清理。如果發布此 HTML 的網站未設定內容安全性原則，則可能發生 XSS 攻擊。此問題已在 jsoup 1.15.3 版中得到修補。使用者應升級至此版本。
此外，由於未清理的輸入可能已被保留，因此應使用更新版再次清理舊內容。如要修復此問題但不想立即升級：- 請停用 `SafeList.preserveRelativeLinks`，它會將輸入 URL 重寫為絕對 URL，停用後可確保定義適當的 [內容安全性原則] (https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)。(無論是否升級，都應使用此深度防禦最佳做法。) (CVE-2022-36033)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。