🇰🇷 한글 설명
Nokogiri는 Ruby용 XML 및 HTML 오픈소스 라이브러리입니다. 1.19.4 이전 버전에서는 Nokogiri::XML::Node를 상속하는 네이티브 래퍼 클래스를 할당만 되고 초기화되지 않은 상태에서 특정 메서드를 호출하면 NULL 포인터 역참조가 발생하여 프로세스가 비정상 종료될 수 있습니다. 이 취약점은 1.19.4 버전에서 수정되었습니다.
💡 쉬운 설명
XML이나 HTML을 처리하는 Ruby 프로그램이 특정 조건에서 갑자기 멈출 수 있는 문제입니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, Nokogiri contains a bug when calling certain methods on allocated-but-uninitialized native wrapper classes that inherit from Nokogiri::XML::Node. This caused a NULL pointer dereference that could crash the process. This vulnerability is fixed in 1.19.4.
📍 영향받는 시스템
Ruby용 Nokogiri 1.19.4 미만 버전을 사용하는 모든 시스템
⚔️ 공격 벡터
특정 객체를 초기화되지 않은 상태에서 메서드 호출하도록 유도하여 서비스 거부(프로세스 충돌)를 일으킴
🛡️ 대응 방법
Nokogiri를 1.19.4 이상으로 업데이트 (gem update nokogiri 또는 Gemfile 수정 후 bundle update nokogiri)
🔧 검증 코드
출력된 버전 번호가 1.19.4 이상이면 취약점이 수정된 것이고, 그 미만이면 업데이트가 필요합니다.
gem list nokogiri 2>/dev/null | grep -E 'nokogiri'