远程 Debian 10 主机上安装的一个程序包受到 dla-3565 公告中提及的多个漏洞影响。

  - Loofah 是用于操纵和转换 HTML/XML 文档和片段的通用库，以 Nokogiri 为基础而构建。Loofah < 2.19.1 中包含一个低效正则表达式，其在尝试审查某些 SVG 属性时容易受到过度回溯的影响。这可能会因 CPU 资源消耗而导致拒绝服务。已在版本 2.19.1 中修补此问题。(CVE-2022-23514)

  - Loofah 是用于操纵和转换 HTML/XML 文档和片段的通用库，以 Nokogiri 为基础而构建。Loofah >= 2.1.0, < 2.19.1 容易通过数据 URI 中的 image/svg+xml 媒体类型受到跨站脚本攻击。已在版本 2.19.1 中修补此问题。(CVE-2022-23515)

  - Loofah 是用于操纵和转换 HTML/XML 文档和片段的通用库，以 Nokogiri 为基础而构建。Loofah >= 2.2.0, < 2.19.1 使用递归来审查 CDATA 部分，从而使其容易受到堆栈耗尽的影响并引发 SystemStackError 异常。这可能会因 CPU 资源消耗而导致拒绝服务。已在版本 2.19.1 中修补此问题。无法升级的用户可以通过限制已审查字符串的长度来缓解此漏洞的影响。(CVE-2022-23516)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3565-1：ruby-loofah - LTS 安全更新

medium Nessus 插件 ID 181445

版本 1.0