Debian DLA-3149-1：ruby-nokogiri - LTS 安全更新

critical Nessus 插件 ID 166069

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3149 公告中提及的多个漏洞影响。

- Nokogiri v1.10.3 及更低版本中存在命令注入漏洞，通过 Ruby 的“Kernel.open”方法能够在子进程中执行命令。只有在使用不安全的用户输入作为文件名的情况下调用未记录的方法“Nokogiri: : CSS: : Tokenizer#load_file”时，进程才会产生漏洞。此漏洞出现在 Rexical gem v1.0.6 及更早版本生成的代码中。Nokogiri 使用 Rexical 生成词法扫描程序代码，用于解析 CSS 查询。Rexical v1.0.7 中解决了此底层漏洞，Nokogiri 已在 Nokogiri v1.10.4 中升级为此版本的 Rexical。
(CVE-2019-5477)

- Nokogiri 是一种为 HTML、XML、SAX 以及 Reader 解析器提供 XPath 和 CSS 选择器支持的 Rubygem。Nokogiri 1.11.0.rc4 之前版本存在 XXE 漏洞。默认情况下，程序信任 Nokogiri: : XML: : Schema 解析的 XML Schema，这让用户可以通过网络访问外部资源，从而可能发起 XXE 或 SSRF 攻击。此行为违反 Nokogiri 维护人员遵循的安全策略，即尽可能将所有输入默认为不受信任。此问题已在 Nokogiri 1.11.0.rc4 版本中修复。(CVE-2020-26247)

- Nokogiri 是用于 Ruby 的开源 XML 和 HTML 库。Nokogiri 1.13.4 之前版本中有一个低效的正则表达式，其在系统尝试检测 HTML 文档中的编码时容易受到过度回溯的影响。建议用户升级到 Nokogiri 1.13.4 及更高版本。目前尚无针对此问题的解决方案。(CVE-2022-24836)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。