Shopifyアプリケーションセキュリティチームは、HTML/XMLドキュメントおよびフラグメントを操作および変換するための汎用ライブラリであるruby-loofahにより、特別に細工されたHTMLフラグメントで入力する際に、ホワイトリストに登録されていない属性がサニタイズ出力に存在する場合のあることを報告しました。
これにより、サニタイズ出力を消費するブラウザにコードインジェクション攻撃が仕掛けられる可能性があります。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:0212 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat CloudForms Management Engine は、仮想環境の管理の課題に対処する上で必要な情報、制御、自動化を提供します。CloudForms Management Engine は、ウェブアプリケーション開発用の model-view-controller (MVC) フレームワークである Ruby on Rails 上にビルドされています。Action Pack は、コントローラーとビューのコンポーネントを実装します。

    セキュリティ修正プログラム: 

    * rubygem-sinatra: 400 Bad Request ページにおける XSS (CVE-2018-11627)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    追加の変更

    この更新プログラムではさまざまなバグが修正され、拡張機能が追加されます。これらの変更に関するドキュメントは、「参照」セクションにリンクされているリリースノートのドキュメントから入手できます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

GitHubの問題:

この問題は、Shopifyアプリケーションセキュリティチームにより責任を持って報告されたXSS / コードインジェクションの脆弱性を公表するために発生しました。

Loofahでは、特別に細工されたHTMLフラグメントを入力すると、サニタイズされた出力にホワイトリストにない属性が存在することが許可されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109046	DebianDSA-4171-1：ruby-loofah - セキュリティ更新	Nessus	Debian Local Security Checks	2018/4/16	2024/11/7	medium
210303	RHEL 7 : CloudForms 4.7 (RHSA-2019:0212)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
108508	FreeBSD：Loofah -- XSS の脆弱性（ba6d0c9b-f5f6-4b9b-a6de-3cce93c83220）	Nessus	FreeBSD Local Security Checks	2018/3/21	2024/12/19	medium

検出

プラグインの検索

medium

high

medium