CVE-2024-58378: Kritisk sårbarhed i Nokogiri

Nokogiri er et populært Ruby-programbibliotek (et stykke kode som udviklere bygger ovenpå) til at læse og behandle XML- og HTML-dokumenter. Biblioteket indeholder en fejl kaldet use-after-free (brug af allerede frigivet hukommelse), som stammer fra det underliggende komponent libxml2. Fejlen opstår, når et program læser XML-filer med DTD-validering og XInclude-udvidelse slået til — to funktioner der bruges til at strukturere og referere indhold i XML. En angriber kan sende et specialudformet XML-dokument, som udløser fejlen og potentielt giver fuld kontrol over systemet. Kun CRuby-versioner der bruger Nokogiri’s medfølgende libxml2 er sårbare.

Sårbarheden rammer virksomheder og udviklere, der bruger Ruby-baserede webapplikationer eller bagvedliggende systemer som anvender Nokogiri til at behandle XML-data — eksempelvis CMS-platforme, API-integrationer, dokumenthåndtering og rapporteringsværktøjer. Konkret er du i risikogruppen, hvis din webudvikler eller leverandør bruger Ruby og Nokogiri version 1.15.x før 1.15.6 eller 1.16.x før 1.16.2 med CRuby. JRuby og systemer der bruger operativsystemets egen libxml2 er ikke påvirket.

Udnytter en angriber denne sårbarhed, kan konsekvenserne være alvorlige:

• Fuld systemovertagelse — angriberen kan potentielt køre vilkårlig kode på din server.
• Datalæk — fortrolige oplysninger, kundedata eller interne dokumenter kan kompromitteres.
• Manipulation af data — angriberen kan ændre eller slette data i dit system.
• Nedbrud — applikationen kan crashe og blive utilgængelig for dine kunder og medarbejdere.

Angrebet kræver ingen forudgående login og kan udføres over internettet, hvilket gør det særligt farligt.

Sårbarheden er vurderet kritisk med en CVSS-score på 9,8 ud af 10. Det er den næsthøjeste mulige score. Angrebsvektoren er netværksbaseret, kræver ingen særlige rettigheder og ingen handling fra brugernes side. Det betyder, at en angriber kan forsøge at udnytte den direkte fra internettet uden forudgående adgang til dit system. Kombinationen af høj tilgængelighed og fuldt kompromitteret fortrolighed, integritet og tilgængelighed (CIA) placerer dette i den absolut øverste risikoklasse.

Kontakt din webudvikler eller IT-leverandør og bed dem bekræfte, om din løsning bruger Nokogiri med CRuby. Hvis ja, skal de straks opdatere til en sikker version:

1. Identificér versionen — bed din udvikler tjekke om projektet bruger Nokogiri i CRuby-udgaven, og hvilken version der er installeret.
2. Opdatér Nokogiri — opdatér til version 1.15.6 eller nyere (på 1.15.x-sporet) eller 1.16.2 eller nyere (på 1.16.x-sporet). Dette opdaterer automatisk den medfølgende libxml2 til en sikker version.
3. Test efter opdatering — bed din udvikler verificere, at applikationen fungerer korrekt efter opdateringen.
4. Gennemgå XML-behandling — hvis din applikation modtager XML-input fra eksterne parter, så overvej at begrænse eller validere dette input ekstra.
5. Dokumentér opdateringen — notér dato og version, så du har dokumentation for din sikkerhedshåndtering — nyttigt ved fx NIS2-compliance.