Debian DLA-2678-1：ruby-nokogiri 安全更新

medium Nessus 插件 ID 150309

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Nokogiri 中发现一个 XXE 漏洞，这是一种为 HTML、XML、SAX 以及 Reader 解析器提供 XPath 和 CSS 选择器支持的 Rubygem。

Nokogiri: : XML: : Schema 解析的 XML Schema 在默认情况下可信，这允许通过网络访问外部资源，从而可能发起 XXE 或 SSRF 攻击。新的默认行为是将所有输入视为不受信任。上游公告就如何缓解该问题或再次还原旧行为提供了更多信息。

https://github.com/sparklemotion/nokogiri/security/advisories/GHSA-vr8 q-g5c7-m54m

对于 Debian 9 Stretch，已在版本 1.6.8.1-1+deb9u1 中修复此问题。

我们建议您升级 ruby-nokogiri 程序包。

如需了解 uby-nokogiri 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/ruby-nokogiri

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。