XML Injection in Xerces Java affects Nokogiri

中 6.5GHSA-xxx9-3xcr-gjj3 · 11/04/2022 公開 · 05/12/2024 更新

要点

GHSA-xxx9-3xcr-gjj3 は nokogiri に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
対処：1.13.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
nokogiri RubyGems	`< 1.13.4`	`1.13.4`

概要

Summary

Nokogiri v1.13.4 updates the vendored xerces:xercesImpl from 2.12.0 to 2.12.2, which addresses CVE-2022-23437. That CVE is scored as CVSS 6.5 "Medium" on the NVD record.

Please note that this advisory only applies to the JRuby implementation of Nokogiri < 1.13.4.

Mitigation

Upgrade to Nokogiri >= v1.13.4.

Impact

CVE-2022-23437 in xerces-J

Severity: Medium
Type: CWE-91 XML Injection (aka Blind XPath Injection)
Description: There's a vulnerability within the Apache Xerces Java (XercesJ) XML parser when handling specially crafted XML document payloads. This causes, the XercesJ XML parser to wait in an infinite loop, which may sometimes consume system resources for prolonged duration. This vulnerability is present within XercesJ version 2.12.1 and the previous versions.
See also: https://github.com/advisories/GHSA-h65f-jvqw-m9fj

参考情報

sparklemotion/nokogiri security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2022-23437 · ADVISORY
GitHub Advisory GHSA-h65f-jvqw-m9fj · ADVISORY
sparklemotion/nokogiri · PACKAGE
sparklemotion/nokogiri release v1.13.4 · WEB
groups.google.com/g/ruby-security-ann/c/vX7qSjsvWis/m/TJWN4oOKBwAJ · WEB

nokogiri のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

nokogiri

RubyGems

< 1.13.4

1.13.4

概要