HTML、XML、SAX、およびReaderパーサーにXPathとCSSのセレクターサポートを提供するRubygemであるNokogiriに、XXEの脆弱性が見つかりました。

Nokogiri：：XML：：により解析されるXMLスキーマデフォルトでスキーマが信頼されており、ネットワーク経由で外部リソースにアクセスできるため、XXE攻撃またはSSRF攻撃が実行される可能性があります。新しいデフォルトの動作では、すべての入力が信頼できないものとして扱われますUpstreamアドバイザリでは、この問題を緩和する方法や以前の動作を復元する方法について、詳細情報を提供しています。

https://github.com/sparklemotion/nokogiri/security/advisories/GHSA-vr8 q-g5c7-m54m

Debian 9 'Stretch'では、この問題はバージョン1.6.8.1-1+deb9u1で修正されています。

お使いのruby-nokogiriパッケージをアップグレードすることを推奨します。

ruby-nokogiriの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/ruby-nokogiri

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-2678-1：ruby-nokogiriセキュリティ更新

medium Nessus プラグイン ID 150309

バージョン 1.3