🇰🇷 한글 설명
Nokogiri는 Ruby용 XML 및 HTML 오픈소스 라이브러리입니다. 1.19.4 이전 버전에서는 JRuby 구현체에서 Nokogiri::XML::Schema에 기본 적용되어야 할 NONET 파싱 옵션이 올바르게 강제되지 않아, 기본 옵션으로 파싱된 스키마가 네트워크를 통해 외부 리소스를 가져올 수 있습니다. 이로 인해 SSRF 또는 XXE 공격이 가능할 수 있으며, 1.19.4에서 수정되었습니다.
💡 쉬운 설명
XML 스키마를 읽을 때 외부 인터넷 주소의 자료를 몰래 가져올 수 있는 문제입니다. 공격자가 이를 악용하면 내부 시스템 정보가 노출되거나 서버가 다른 곳으로 요청을 보내게 될 수 있습니다.
🇺🇸 원문 (English)
Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, the NONET parse option, which Nokogiri turns on by default for Nokogiri::XML::Schema (see CVE-2020-26247), was not correctly enforced on the JRuby implementation. As a result, a schema parsed with default options could still cause external resources to be fetched over the network, potentially enabling SSRF or XXE attacks. This vulnerability is fixed in 1.19.4.
📍 영향받는 시스템
JRuby 환경에서 동작하는 Nokogiri 1.19.4 미만 버전
⚔️ 공격 벡터
조작된 XML 스키마를 애플리케이션이 파싱하도록 유도하여 외부 리소스 요청(SSRF/XXE)을 발생시킴
🛡️ 대응 방법
Nokogiri를 1.19.4 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.19.4 미만이면 취약하므로 업데이트가 필요하며, 1.19.4 이상이면 패치가 적용된 상태입니다.
gem list nokogiri 2>/dev/null | grep -E 'nokogiri'