CVE-2024-58378
KrytyczneCVSS 9.8Streszczenie
Nokogiri przed wersją 1.15.6 oraz wersje 1.16.x przed 1.16.2 (CRuby, przy użyciu pakietowego libxml2) są dotknięte podatnością use-after-free w libxml2 (CVE-2024-25062) w module xmlTextReader, który stanowi podstawę Nokogiri::XML::Reader. Podczas korzystania z interfejsu XML Reader z włączoną walidacją DTD i rozwijaniem XInclude, przetwarzanie spreparowanego dokumentu XML może prowadzić do use-after-free w xmlValidatePopElement. Nokogiri 1.15.6 i 1.16.2 rozwiązują ten problem poprzez aktualizację pakietowego libxml2 odpowiednio do 2.11.7 i 2.12.5. JRuby i instalacje używające systemowego libxml2 nie są dotknięte.
Ocena ryzyka
Podatność może prowadzić do awarii aplikacji lub potencjalnego wykonania kodu podczas przetwarzania złośliwych dokumentów XML, co stanowi zagrożenie dla stabilności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Nokogiri do wersji 1.15.6 lub 1.16.2 (w zależności od używanej gałęzi) oraz unikanie przetwarzania niezaufanych dokumentów XML z włączoną walidacją DTD i XInclude.
Oryginalny opis (angielski, źródło NVD)
Nokogiri before 1.15.6 and 1.16.x before 1.16.2 (CRuby, when using the packaged libxml2) is affected by a use-after-free vulnerability in libxml2 (CVE-2024-25062) in the xmlTextReader module, which underlies Nokogiri::XML::Reader. When using the XML Reader interface with DTD validation and XInclude expansion enabled, processing a crafted XML document can lead to an xmlValidatePopElement use-after-free. Nokogiri 1.15.6 and 1.16.2 resolve this by upgrading the packaged libxml2 to 2.11.7 and 2.12.5 respectively. JRuby and installations using system libxml2 are not affected.