CVE-2021-28965: XML-Round-Trip-Schwachstelle in REXML

Gepostet von mame am 5. Apr 2021

Es gibt eine XML-Round-Trip-Schwachstelle in der mit Ruby gebündelten REXML-Gem. Diese Schwachstelle wurde unter der CVE-ID CVE-2021-28965 registriert. Wir empfehlen dringend, die REXML-Gem zu aktualisieren.

Details

Beim Parsen und Serialisieren eines speziell erstellten XML-Dokuments kann die REXML-Gem (einschließlich der mit Ruby gebündelten) ein falsches XML-Dokument erstellen, dessen Struktur von der ursprünglichen abweicht. Die Auswirkungen dieses Problems hängen stark vom Kontext ab, können aber in einigen Programmen, die REXML verwenden, zu einer Schwachstelle führen.

Bitte aktualisieren Sie die REXML-Gem auf Version 3.2.5 oder höher.

Wenn Sie Ruby 2.6 oder neuer verwenden

• Bitte verwenden Sie Ruby 2.6.7, 2.7.3 oder 3.0.1.
• Alternativ können Sie gem update rexml verwenden, um sie zu aktualisieren. Wenn Sie Bundler verwenden, fügen Sie gem "rexml", ">= 3.2.5" zu Ihrer Gemfile hinzu.

Wenn Sie Ruby 2.5.8 oder älter verwenden

• Bitte verwenden Sie Ruby 2.5.9.
• Sie können gem update rexml für Ruby 2.5.8 oder älter nicht verwenden.
• Beachten Sie, dass die Ruby 2.5-Serie nun EOL (End of Life) ist. Bitte erwägen Sie daher, Ruby so bald wie möglich auf 2.6.7 oder neuer zu aktualisieren.

Betroffene Versionen

• Ruby 2.5.8 oder älter (Sie können gem update rexml für diese Version NICHT verwenden.)
• Ruby 2.6.6 oder älter
• Ruby 2.7.2 oder älter
• Ruby 3.0.0
• REXML gem 3.2.4 oder älter

Credits

Vielen Dank an Juho Nurminen für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2021-04-05 12:00:00 (UTC)