🇰🇷 한글 설명
Nokogiri는 Ruby용 오픈소스 XML/HTML 라이브러리입니다. 1.19.4 이전 버전에서는 Nokogiri::XML::Node#do_xinclude의 XInclude 치환 과정이 <xi:include>를 제자리에서 교체하면서, 하위 노드(<xi:fallback} 등)와 선언된 네임스페이스를 함께 해제합니다. 애플리케이션이 이러한 노드를 이미 Ruby 객체로 노출한 경우, 해당 객체가 해제된 메모리를 가리키게 되어 사용 시 잘못된 읽기/쓰기가 발생할 수 있습니다.
💡 쉬운 설명
XML 문서를 처리하는 Ruby 라이브러리에 메모리 관리 결함이 있어, 특정 조건에서 이미 지워진 메모리 영역을 프로그램이 다시 사용하게 됩니다. 이로 인해 프로그램이 비정상 종료되거나 예기치 않은 동작이 발생할 수 있습니다.
🇺🇸 원문 (English)
Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, XInclude substitution performed by Nokogiri::XML::Node#do_xinclude replaced each <xi:include> in place, freeing the include node along with its children (such as <xi:fallback> and its descendants) and any namespaces declared on them. If an application had already exposed one of those nodes or namespaces to Ruby, the corresponding Ruby object was left pointing at freed memory. Using the object could result in invalid reads or writes to memory. This vulnerability is fixed in 1.19.4.
📍 영향받는 시스템
Ruby Nokogiri gem 1.19.4 미만 버전 (XInclude 기능을 사용하는 XML 처리 애플리케이션)
⚔️ 공격 벡터
공격자가 XInclude 구문을 포함한 조작된 XML 문서를 처리하게 만들어 해제된 메모리를 참조하도록 유도
🛡️ 대응 방법
Nokogiri를 1.19.4 이상으로 업그레이드 (gem update nokogiri 또는 Gemfile에서 버전 지정)
🔧 검증 코드
출력된 버전이 1.19.4 미만이면 취약하며, 1.19.4 이상이면 패치된 버전입니다.
gem list nokogiri 2>/dev/null | grep nokogiri