GHSA-8678-w3jw-xfc2
NiskieStreszczenie
Podatność w bibliotece Nokogiri dla JRuby powoduje, że opcja NONET nie jest poprawnie egzekwowana podczas parsowania schematów XML. Umożliwia to atakującemu wczytanie zewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub ataków SSRF.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych oraz potencjalny wyciek wrażliwych danych poprzez wczytanie zewnętrznych encji podczas przetwarzania schematów XML.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Nokogiri do wersji, która zawiera poprawkę dla tej podatności. W międzyczasie zaleca się ręczne wyłączenie opcji NONET lub ograniczenie dostępu do sieci dla aplikacji korzystających z JRuby.
Oryginalny opis (angielski, źródło NVD)
### Summary The `NONET` parse option, which Nokogiri turns on by default for `Nokogiri::XML::Schema` (see [CVE-2020-26247](https://github.com/sparklemotion/nokogiri/security/advisories/GHSA-vr8q-g5c7-m54m)), was not correctly enforced on the JRuby implementation. As a result, a schema parsed with d