Nokogiri NULL Pointer Dereference

中 6.5CVE-2018-14404 · GHSA-6qvp-r6r3-9p7h · 19/07/2018 公開 · 14/10/2026 更新

要点

CVE-2018-14404 は nokogiri, libxml2 (xmlsoft) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.7%（全脆弱性の 89.9% より高い）。
対処：1.8.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
nokogiri RubyGems	`< 1.8.5`	`1.8.5`
libxml2 xmlsoft	`≤ 2.9.8`	修正版なし

概要

A NULL pointer dereference vulnerability exists in the xpath.c:xmlXPathCompOpEval() function of libxml2 through 2.9.8 when parsing an invalid XPath expression in the XPATH_OP_AND or XPATH_OP_OR case. Applications processing untrusted XSL format inputs with the use of the libxml2 library may be vulnerable to a denial of service attack due to a crash of the application.

NVD の説明

A NULL pointer dereference vulnerability exists in the xpath.c:xmlXPathCompOpEval() function of libxml2 through 2.9.8 when parsing an invalid XPath expression in the XPATH_OP_AND or XPATH_OP_OR case. Applications processing untrusted XSL format inputs with the use of the libxml2 library may be vulnerable to a denial of service attack due to a crash of the application.