Debian DLA-3150-1: rexical - LTS セキュリティ更新

critical Nessus プラグイン ID 166068

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3150 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Nokogiri v1.10.3 以前のコマンドインジェクションの脆弱性のため、Ruby の `Kernel.open` メソッドによりサブプロセスでコマンドが実行される可能性があります。文書化されていないメソッド `Nokogiri: : CSS: : Tokenizer#load_file` が安全でないユーザー入力をファイル名として呼び出されています。この脆弱性は、Rexical gemバージョン v1.0.6 以前によって生成されるコードに表示されます。Rexicalは、CSSクエリを解析するために字句スキャナーコードを生成するためにNokogiriによって使用されます。内在する脆弱性は Rexical v1.0.7 で対処されており、Nokogiri は Nokogiri v1.10.4 で Rexical のこのバージョンにアップグレードされています。
(CVE-2019-5477)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。