CVE-2022-51000: Kritisk fejl i Nokogiri (Ruby XML-bibliotek)

CVE-2022-51000 sidder i Nokogiri, et populært Ruby-bibliotek til at læse og behandle XML- og HTML-dokumenter. Versioner før 1.13.2 medleverer forældede udgaver af de underliggende motorer libxml2 og libxslt, som selv har kendte sikkerhedshuller. Det centrale problem er en use-after-free-fejl, hvor programmet fejlagtigt bruger hukommelse, der allerede er frigivet, hvilket en angriber kan udnytte til at få programmet til at gå ned eller i værste fald køre skadelig kode. Fejlen opstår, når Nokogiri parser et XML-dokument med bestemte indstillinger for dokumenttype-validering, eller når det transformerer XML med en ekstern XSL-skabelon.

Det rammer alle danske virksomheder, der selv har udviklet eller fået udviklet applikationer i Ruby eller Ruby on Rails, hvor Nokogiri bruges til at parse XML eller HTML fra eksterne kilder, for eksempel fakturaimport, feed-behandling, webshop-integrationer eller API’er, der modtager XML fra kunder og leverandører. Det gælder alle versioner af Nokogiri før 1.13.2, når biblioteket bruger de medfølgende (vendored) udgaver af libxml2 og libxslt frem for systemets egne biblioteker.

En angriber kan sende et forberedt XML-dokument eller en XSL-skabelon til en sårbar applikation. Afhængigt af hvordan applikationen bruger Nokogiri, kan det føre til, at tjenesten går ned og skal genstartes, at data i serverens hukommelse kan læses uautoriseret, eller i værste fald at angriberen kan køre egen kode på serveren. For en dansk virksomhed med en webshop eller et kundeportal bygget i Ruby on Rails betyder det risiko for driftsstop eller læk af følsomme data, hvis systemet parser XML fra utroværdige kilder.

Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kan udnyttes over netværket, kræver ikke login og kræver ikke, at en bruger klikker på noget. Angriberen skal blot kunne levere et XML-dokument eller en XSL-skabelon til applikationen. Konsekvensen kan påvirke fortrolighed, integritet og tilgængelighed fuldt ud. Der er ikke belæg for, at sårbarheden er aktivt udnyttet i angreb, men de underliggende fejl i libxml2 og libxslt er offentligt kendte og dokumenterede, hvilket gør det realistisk, at kode til at udnytte den kan findes eller udvikles.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér Nokogiri-gemmen til version 1.13.2 eller nyere i alle Ruby- og Ruby on Rails-applikationer. Kør bundle update nokogiri og test derefter jeres applikationer.
2. Kortlæg, hvor jeres applikationer bruger Nokogiri til at parse XML eller HTML fra eksterne kilder, og prioritér de systemer, der modtager data fra internettet eller fra tredjeparter.
3. Undlad indtil opdateringen er gennemført at parse XML med DTD-validering aktiveret, hvis det kan undgås, og undgå at transformere XML fra utroværdige afsendere med XSL.
4. Gennemgå jeres Gemfile.lock for at se, om Nokogiri kører med medfølgende (vendored) libxml2 og libxslt, eller med systembiblioteker, da det påvirker eksponeringen.
5. Kontrollér driftslogfiler for uventede nedbrud i applikationer, der bruger Nokogiri, som kan være tegn på forsøg på at udnytte fejlen.
6. Hvis I ikke selv har udviklerressourcer til at opdatere og teste afhængigheder i jeres Ruby-applikationer, bør I hente hjælp udefra til at gennemføre opdateringen og verificere, at systemerne fungerer korrekt bagefter.