Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Nokogiri before 1.13.9 (パッケージ化されたライブラリを使用した CRuby 実装)は、libxml2 v2.9.14 をバンドルしています。これは、 CVE-2022-40304 (エンティティコンテンツが dict から割り当てられる際のデータの破損/エンティティ参照サイクルからの二重解放)および CVE-2022-40303 (XML_PARSE_HUGE で解析する際の整数オーバーフロー)の影響を受けます。
    Nokogiri 1.13.9 は、これらの問題に対処するために、パッケージ化された libxml2 を v2.10.3 にアップグレードします。細工された XML 入力を処理すると、サービス拒否またはメモリ破損が発生する可能性があります。(アドバイザリは、Iterwalk/canonicalize を介した NULL ポインターデリファレンスである CVE-2022-2309 も参照しています。これは、Nokogiri ユーザーには影響しないとメンテナーが判断しました。)(CVE-2022-50998)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-50998

high Nessus プラグイン ID 341920

バージョン 1.3