Nokogiri vulnerable to libxslt protection mechanism bypass

緊急 9.8CVE-2019-11068 · GHSA-qxcg-xjjg-66mj · 10/04/2019 公開 · 17/06/2026 更新

要点

CVE-2019-11068 は nokogiri, e-series santricity os controller (netapp), jdk (oracle) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：5.2%（全脆弱性の 92.5% より高い）。
対処：1.10.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
nokogiri RubyGems	`< 1.10.3`	`1.10.3`
e-series santricity os controller netapp	`≥ 11.0, ≤ 11.70.2`	修正版なし
jdk oracle	`= 8.0`	修正版なし
libxslt xmlsoft	`≤ 1.1.33`	修正版なし

概要

A dependency of Nokogiri, libxslt through 1.1.33 allows bypass of a protection mechanism because callers of xsltCheckRead and xsltCheckWrite permit access even upon receiving a -1 error code. xsltCheckRead can return -1 for a crafted URL that is not actually invalid and is subsequently loaded.

NVD の説明

libxslt through 1.1.33 allows bypass of a protection mechanism because callers of xsltCheckRead and xsltCheckWrite permit access even upon receiving a -1 error code. xsltCheckRead can return -1 for a crafted URL that is not actually invalid and is subsequently loaded.