The Shopify Application Security Team reported that ruby-loofah, a general library for manipulating and transforming HTML/XML documents and fragments, allows non-whitelisted attributes to be present in sanitized output when input with specially crafted HTML fragments.
This might allow to mount a code injection attack into a browser consuming sanitized output.

Shopifyアプリケーションセキュリティチームは、HTML/XMLドキュメントおよびフラグメントを操作および変換するための汎用ライブラリであるruby-loofahにより、特別に細工されたHTMLフラグメントで入力する際に、ホワイトリストに登録されていない属性がサニタイズ出力に存在する場合のあることを報告しました。
これにより、サニタイズ出力を消費するブラウザにコードインジェクション攻撃が仕掛けられる可能性があります。

Shopify 應用程式安全團隊報告操控和轉換 HTML/XML 文件及片段的一般程式庫 ruby-loofah 在輸入特製的 HTML 片段時，可讓非允許清單屬性顯示在已清理的輸出中。
攻擊可利用此問題，對瀏覽器發動程式碼插入攻擊，耗用已清理的輸出。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2019:0212 公告中提及的多个漏洞的影响。

    Red Hat CloudForms Management Engine 提供可解决管理虚拟环境难题所需的见解、控件和自动化。CloudForms Management Engine 基于 Ruby on Rails 构建，后者是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Action Pack 实施控制器和视图组件。

    安全修复：

    * rubygem-sinatra：400 错误请求页面中的 XSS (CVE-2018-11627)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    其他变更：

    此更新修复了各种缺陷并添加了增强。“参考”部分链接的版本说明文档中提供这些更改的文档。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Shopify 应用程序安全团队报告用于操作和转换 HTML/XML 文档和片段的通用库 ruby-loofah 允许非白名单属性在使用特制的 HTML 片段输入时出现在经过清理的输出中。
这可能允许对使用已清理输出的浏览器发起代码注入攻击。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2019:0212 公告中提及的多個弱點影響。

    Red Hat CloudForms Management Engine 提供因應管理虛擬環境挑戰所需的深入見解、控制機制及自動化服務。CloudForms Management Engine 建置在 Ruby on Rails 上，後者是一個適用於 Web 應用程式開發的模型檢視控制器 (MVC) 架構。Action Pack 可實作控制器和檢視元件。

    安全性修正：

    * rubygem-sinatra：400 錯誤要求頁面中的 XSS (CVE-2018-11627)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他變更：

    此更新可修正多個錯誤，並新增數個增強功能。這些變更的相關文件可從〈參照〉一節中的「版本資訊」文件連結中取得。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

GitHub issue :

This issue has been created for public disclosure of an XSS / code injection vulnerability that was responsibly reported by the Shopify Application Security Team.

Loofah allows non-whitelisted attributes to be present in sanitized output when input with specially crafted HTML fragments.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2019:0212 advisory.

    Red Hat CloudForms Management Engine delivers the insight, control, and automation needed to address the     challenges of managing virtual environments. CloudForms Management Engine is built on Ruby on Rails, a     model-view-controller (MVC) framework for web application development. Action Pack implements the     controller and the view components.

    Security Fix(es):

    * rubygem-sinatra: XSS in the 400 Bad Request page (CVE-2018-11627)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Additional Changes:

    This update fixes various bugs and adds enhancements. Documentation for these changes is available from     the Release Notes document linked to in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:0212 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat CloudForms Management Engine は、仮想環境の管理の課題に対処する上で必要な情報、制御、自動化を提供します。CloudForms Management Engine は、ウェブアプリケーション開発用の model-view-controller (MVC) フレームワークである Ruby on Rails 上にビルドされています。Action Pack は、コントローラーとビューのコンポーネントを実装します。

    セキュリティ修正プログラム: 

    * rubygem-sinatra: 400 Bad Request ページにおける XSS (CVE-2018-11627)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    追加の変更

    この更新プログラムではさまざまなバグが修正され、拡張機能が追加されます。これらの変更に関するドキュメントは、「参照」セクションにリンクされているリリースノートのドキュメントから入手できます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

GitHubの問題:

この問題は、Shopifyアプリケーションセキュリティチームにより責任を持って報告されたXSS / コードインジェクションの脆弱性を公表するために発生しました。

Loofahでは、特別に細工されたHTMLフラグメントを入力すると、サニタイズされた出力にホワイトリストにない属性が存在することが許可されます。

ID	名稱	產品	系列	已發布	已更新	嚴重性
109046	Debian DSA-4171-1 : ruby-loofah - security update	Nessus	Debian Local Security Checks	2018/4/16	2024/11/7	medium
109046	DebianDSA-4171-1：ruby-loofah - セキュリティ更新	Nessus	Debian Local Security Checks	2018/4/16	2024/11/7	medium
109046	Debian DSA-4171-1：ruby-loofah - 安全性更新	Nessus	Debian Local Security Checks	2018/4/16	2024/11/7	medium
210303	RHEL 7：CloudForms 4.7 (RHSA-2019:0212)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
109046	Debian DSA-4171-1：ruby-loofah - 安全更新	Nessus	Debian Local Security Checks	2018/4/16	2024/11/7	medium
210303	RHEL 7：CloudForms 4.7 (RHSA-2019:0212)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
108508	FreeBSD : Loofah -- XSS vulnerability (ba6d0c9b-f5f6-4b9b-a6de-3cce93c83220)	Nessus	FreeBSD Local Security Checks	2018/3/21	2024/12/19	medium
210303	RHEL 7 : CloudForms 4.7 (RHSA-2019:0212)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
210303	RHEL 7 : CloudForms 4.7 (RHSA-2019:0212)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
108508	FreeBSD：Loofah -- XSS の脆弱性（ba6d0c9b-f5f6-4b9b-a6de-3cce93c83220）	Nessus	FreeBSD Local Security Checks	2018/3/21	2024/12/19	medium

偵測

搜尋 Plugin

medium

medium

medium

high

medium

high

medium

high

high

medium