Уязвимост в NPM пакета pac-resolver, който има 3 милиона изтегляния седмично

В NPM пакета pac-resolver, който има повече от 3 млн. изтегляния седмично, е открита уязвимост (CVE-2021-23406), която позволява изпълнението на собствен JavaScript код в контекста на приложението при изпращане на HTTP заявки от Node.js проекти, които поддържат функцията за автоматично конфигуриране на прокси сървър.

Пакетът pac-resolver парсва PAC файлове, включващи скрипт за автоматично конфигуриране на прокси сървър. PAC файлът съдържа обикновен JavaScript код с функцията FindProxyForURL, която определя логиката за избор на прокси в зависимост от хоста и заявения URL. Същността на уязвимостта е в това, че за изпълнение на този JavaScript код в pac-resolver е използван предоставения в Node.js API VM, позволяващ изпълнението на JavaScript код в различен контекст на движка V8.

Посоченият API е изрично отбелязан в документацията като неподходящ за изпълнение на код, който не е доверен, тъй като не предоставя пълна изолация на изпълнявания код и позволява достъп до оригиналния контекст. Проблемът е решен в изданието pac-resolver 5.0.0, което е преминало на използване на библиотеката vm2, предоставяща по-високо ниво на изолация, подходящо за изпълнение на недоверен код.

При използване на уязвимата версия на pac-resolver, атакуващият може чрез предаването на специфично форматиран PAC файл да постигне изпълнението на своя JavaScript код в контекста на кода на проекта, използващ Node.js, ако в този проект се използват библиотеки, които имат зависимости с pac-resolver. Най-популярната от проблемните библиотеки е Proxy-Agent, посочена в зависимостите на 360 проекта, включително urllib, aws-cdk, mailgun.js и firebase-tools, с общо над три милиона изтегляния седмично.

Ако приложението, свързано с зависимостите на pac-resolver, зарежда PAC файл, предоставен от система с поддръжка на протокола за автоматично конфигуриране на прокси WPAD, то за подмяна на злонамерени PAC файлове, злонамерени лица с достъп до локалната мрежа могат да се възползват от разпространението на настройки за прокси чрез DHCP.

Източник: opennet.ru