【活用ガイド】

JVNDB-2026-031331

Nokogiriにおけるバッファエラーの脆弱性

概要

Nokogiri 1.11.4以前のバージョン（CRuby実装のみで、パッケージ化またはベンダー提供されたlibxml2を使用している場合）は、libxml2 2.9.10をバンドルしており、これはlibxml2 2.9.12で対処された複数の脆弱性の影響を受けます。これらの脆弱性には、xmlSchemaValidateStreamのメモリリーク（CVE-2019-20388）、xmlEncodeEntitiesInternalのグローバルバッファのオーバーリード（CVE-2020-24977）、ヒープベースのバッファオーバーフロー（CVE-2021-3517）、および境界外読み取り（CVE-2021-3518）が含まれます。細工されたXMLドキュメントを処理すると、サービス拒否、情報漏洩、またはメモリ破損を引き起こす可能性があります。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.5 (重要) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 高
影響を受けるシステム


Nokogiri
  • Nokogiri 1.11.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
想定される影響

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。
対策

ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

GitHub VulnCheck
CWEによる脆弱性タイプ一覧  CWEとは?

  1. バッファエラー(CWE-119) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2021-47996
参考情報

  1. National Vulnerability Database (NVD) : CVE-2021-47996
  2. 関連文書 : Validate UTF8 in xmlEncodeEntities  GNOME/libxml2@bf22713  GitHub
  3. 関連文書 : Fix user-after-free with `xmllint --xinclude --dropdtd`  GNOME/libxml2@1098c30  GitHub
  4. 関連文書 : Fix memory leak in xmlSchemaValidateStream  GNOME/libxml2@7ffcd44  GitHub
  5. 関連文書 : Fix use-after-free with `xmllint --html --push`  GNOME/libxml2@1358d15  GitHub
  6. 関連文書 : Fix out-of-bounds read with 'xmllint --htmlout'  GNOME/libxml2@50f06b3  GitHub
  7. 関連文書 : Fix infinite loop in xmlStringLenDecodeEntities  GNOME/libxml2@0e1a49c  GitHub
  8. 関連文書 : Patch for security issue CVE-2021-3541  GNOME/libxml2@8598060  GitHub
  9. 関連文書 : Propagate error in xmlParseElementChildrenContentDeclPriv  GNOME/libxml2@babe750  GitHub
更新履歴

  • [2026年09月02日]
      掲載

公表日2026/08/25
登録日2026/09/02
最終更新日2026/09/02