HTML、XML、SAX、およびReaderパーサーにXPathとCSSのセレクターサポートを提供するRubygemであるNokogiriに、XXEの脆弱性が見つかりました。

Nokogiri：：XML：：により解析されるXMLスキーマデフォルトでスキーマが信頼されており、ネットワーク経由で外部リソースにアクセスできるため、XXE攻撃またはSSRF攻撃が実行される可能性があります。新しいデフォルトの動作では、すべての入力が信頼できないものとして扱われますUpstreamアドバイザリでは、この問題を緩和する方法や以前の動作を復元する方法について、詳細情報を提供しています。

https://github.com/sparklemotion/nokogiri/security/advisories/GHSA-vr8 q-g5c7-m54m

Debian 9 'Stretch'では、この問題はバージョン1.6.8.1-1+deb9u1で修正されています。

お使いのruby-nokogiriパッケージをアップグレードすることを推奨します。

ruby-nokogiriの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/ruby-nokogiri

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021：4702 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-ecdsa: 署名デコード中に発生する予期せぬ文書化されていない例外 (CVE-2019-14853)

  - python-ecdsa: DER エンコーディングが署名で検証されていません (CVE-2019-14859)

  - rubygem-activerecord-session_store：セッションIDを標的とするタイミング攻撃を使用してセッションをハイジャック（CVE-2019-25025）

  - PyYAML:CVE-2020-1747の修正が不完全（CVE-2020-14343）

  - rubygem-nokogiri: Nokogiri: : XML：: Schema による XML 外部エンティティインジェクション (CVE-2020-26247)

  - rake: Rake: : FileList の egrep による OS コマンドインジェクション (CVE-2020-8130)

  -guava：安全ではない権限で作成した一時ディレクトリを介したローカルの情報漏洩（CVE-2020-8908）

  - Satellite: API を介した BMC コントローラーの認証情報の漏洩 (CVE-2021-20256)

  - python-aiohttp: aiohttp.web_middlewares.normalize_path_middleware のオープンリダイレクト (CVE-2021-21330)

  - rubygem-actionpack：Action Pack における潜在的な情報漏洩/意図しないメソッドの実行 (CVE-2021-22885)

  - rails: Action Dispatch における潜在的なサービス拒否の脆弱性 (CVE-2021-22902)

  - rails: Action Controller のトークン認証の潜在的な DoS の脆弱性 (CVE-2021-22904)

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-28658)

  - rubygem-puma: CVE-2019-16770 の不完全な修正により、サービス拒否 (DoS) が可能になります (CVE-2021-29509)

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-31542)

  - rubygem-addressable: テンプレートの ReDoS (CVE-2021-32740)

  - django：「admindocs」を介したディレクトリトラバーサルの可能性 (CVE-2021-33203)

  - python-urllib3: URLの権限部分の解析におけるReDoS（CVE-2021-33503）

  - django：バリデーターが IPv4 アドレスの先行ゼロを受け入れていたために発生する可能性がある不確定な SSRF、RFI、および LFI 攻撃 (CVE-2021-33571)

  - Satellite: 認証されたユーザーへの Azure 計算リソース secret_key の漏洩 (CVE-2021-3413)

  - foreman: smart_proxy realm_freeipa での中間者の可能性 (CVE-2021-3494)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このrubygem-nokogiri用の更新プログラムでは、次の問題が修正されています：
rubygem-nokogiriは1.8.5に更新されました（bsc#1156722）。

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-5477：コマンドインジェクションの脆弱性を修正しました（bsc#1146578）。

  - CVE-2020-26247：Nokogiri: : XML：: SchemaのXXEの脆弱性を修正しました（bsc#1180507）。

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

リモートの Debian 10 ホストには、dla-3149 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Nokogiri v1.10.3 以前のコマンドインジェクションの脆弱性のため、Ruby の `Kernel.open` メソッドによりサブプロセスでコマンドが実行される可能性があります。文書化されていないメソッド `Nokogiri: : CSS: : Tokenizer#load_file` が安全でないユーザー入力をファイル名として呼び出されています。この脆弱性は、Rexical gemバージョン v1.0.6 以前によって生成されるコードに表示されます。Rexicalは、CSSクエリを解析するために字句スキャナーコードを生成するためにNokogiriによって使用されます。内在する脆弱性は Rexical v1.0.7 で対処されており、Nokogiri は Nokogiri v1.10.4 で Rexical のこのバージョンにアップグレードされています。
    (CVE-2019-5477)

  - Nokogiri は、HTML、XML、SAX、および Reader パーサーに XPath と CSS のセレクターサポートを提供する Rubygem です。バージョン 1.11.0.rc4 より前の Nokogiri には、XXE の脆弱性があります。Nokogiri：: XML：: デフォルトでスキーマが信頼されており、ネットワーク経由で外部リソースにアクセスできるため、XXE 攻撃または SSRF 攻撃が実行される可能性があります。この動作は、Nokogiri のメンテナーが従うセキュリティポリシーに反します。このため、可能な場合は常に、すべての入力がデフォルトで信頼できないものとして扱われます。これは Nokogiri バージョン 1.11.0.rc4 で修正されています。(CVE-2020-26247)

  - Nokogiri は Ruby 用のオープンソースの XML および HTML ライブラリです。Nokogiri「<v1.13.4」には非効率的な正規表現が含まれており、HTML ドキュメントのエンコーディング検出を試行する際に過剰なバックトラックの影響を受けやすくなります。ユーザーに Nokogiri 「>= 1.13.4」にアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2022-24836)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
150309	DebianDLA-2678-1：ruby-nokogiriセキュリティ更新	Nessus	Debian Local Security Checks	2021/6/7	2024/1/12	medium
155377	RHEL 7：Satellite 6.10 リリース（重要度中）（RHSA-2021：4702)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/4/28	critical
146274	openSUSEセキュリティ更新プログラム：rubygem-nokogiri（openSUSE-2021-237）	Nessus	SuSE Local Security Checks	2021/2/8	2024/1/23	critical
166069	Debian DLA-3149-1: ruby-nokogiri - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/10/12	2022/10/12	critical

検出

プラグインの検索

medium

critical

critical

critical