Nokogiri v1.11.4 Updates libxml2 to Fix CVE-2019-20388, CVE-2021-3517/3518

更新打包的 libxml2 从 2.9.10 到 2.9.12 漏洞概述 Nokogiri v1.11.4 更新了 vendored libxml2 从 v2.9.10 到 v2.9.12，解决了以下 CVE： CVE-2019-20388（中等严重性） CVE-2020-24977（中等严重性） CVE-2021-3517（中等严重性） CVE-2021-3518（中等严重性） CVE-2021-3537（低严重性） CVE-2021-3541（低严重性） 注意：有两个额外的 CVE 在 upstream 中已解决，但不适用于此版本。CVE-2021-3518 通过 xmllint 不适用，因为 Nokogiri 中未包含 xml1.0.8（见 #1953）。 影响范围 受影响的版本：= 1.11.4 详细信息 CVE-2019-20388 严重性：中等 类型：拒绝服务 描述：在 libxml2 的 xmlSchemaValidateStream 函数中发现内存泄漏。使用该库的应用程序可能因内存未释放而导致拒绝服务。 修复：链接 CVE-2020-7595 严重性：中等 类型：拒绝服务 描述：libxml2 2.9.10 在解析器 c 中的 xmlStringLenDecodeEntities 中存在无限循环，在某些文件结尾情况下。 修复：链接 CVE-2020-24977 严重性：中等 类型：信息泄露 描述：GNOME 项目 libxml2 <= 2.9.10 在 xmlEncodeEntitiesInternal 中存在全局缓冲区溢出漏洞。 修复：链接 CVE-2021-3516 严重性：中等 类型：任意代码执行（无远程向量） 描述：在使用 "xmllint --html --push" 处理特制文件时，在 libxml2 版本 2.9.11 之前发现了使用后释放安全问题。 问题：链接 修复：链接 CVE-2021-3517 严重性：中等 类型：任意代码执行 描述：在处理截断的 UTF-8 输入时，在 libxml2 版本 2.9.11 之前发现了基于堆的缓冲区溢出。 问题：链接 修复：链接 CVE-2021-3518 严重性：中等 类型：任意代码执行 描述：在处理特制文件时，在 libxml2 版本 2.9.11 之前发现了使用后释放安全问题。 问题：链接 修复：链接 CVE-2021-3537 严重性：低 类型：拒绝服务 描述：在解析 XML 混合内容时，libxml2 版本 2.9.11 之前未传播错误，导致空指针解引用。如果未验证的 XML 文档在恢复模式下解析并后验证，该漏洞可用于崩溃应用程序。 问题：链接 修复：链接 CVE-2021-3541 严重性：低 类型：拒绝服务 描述：在 libxml2 版本 2.9.11 之前发现了指数实体扩展攻击，可能绕过某些保护机制并导致拒绝服务。 修复：链接 更多信息请访问 链接。

目標達成すべての支援者に感謝 — 100%達成しました！

Nokogiri v1.11.4 Updates libxml2 to Fix CVE-2019-20388, CVE-2021-3517/3518

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Nokogiri v1.11.4 Updates libxml2 to Fix CVE-2019-20388, CVE-2021-3517/3518

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！