Уязвимост в NPM, водеща до презаписване на файлове в системата

Компания GitHub разкри подробности за седем уязвимости в пакетите tar и @npmcli/arborist, предоставящи функции за работа с tar архиви и изчисляване на дървото на зависимостите в Node.js. Уязвимостите позволяват при разархивиране на специално оформен архив да се презапишат файлове извън кореновата директория, в която се извършва разархивирането, в зависимост от текущите права за достъп. Проблемите дават възможност за изпълнение на произволен код в системата, например, чрез добавяне на команди в ~/ .bashrc или ~/ .profile при изпълнение от непривилегирован потребител или чрез замяна на системни файлове при стартиране с права на root.

Опасността от уязвимостите се усложнява от факта, че проблемният код се използва в пакетния мениджър npm при операции с npm-пакети, което позволява организирането на атака срещу потребителите, като се публикува в репозитория специално оформен npm-пакет, при обработката на който в системата ще бъде изпълнен код на злонамерен изпълнител. Атаката е възможна дори при инсталиране на пакети в режим «—ignore-scripts», който деактивира изпълнението на вградени скриптове. Общо npm засяга четири уязвимости (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 и CVE-2021-39135) от седем. Първите две проблеми се отнасят до пакета tar, а другите две до пакета @npmcli/arborist.

Най-опасната уязвимост CVE-2021-32804 се дължи на факта, че при почистване на указаните в архива tar абсолютни пътища, повторяемите символи «/» се обработват неправилно — изтрива се само първият символ, а останалите се оставят. Например, пътят «/home/user/.bashrc» ще бъде преобразуван в «home/user/.bashrc», а пътят «//home/user/.bashrc» в «/home/user/.bashrc». Втората уязвимост CVE-2021-37713 се проявява само на платформата Windows и е свързана с неправилно почистване на относителни пътища, включващи неразделящ символ на диска («C:some\path») и последователност за връщане в предишната директория («C:../foo»).

Уязвимостите CVE-2021-39134 и CVE-2021-39135 са специфични за модула @npmcli/arborist. Първият проблем се проявява само на системи, които не разграничават регистъра на символите в файловата система (macOS и Windows), и позволява записването на файлове в произволна част от файловата система, като се посочат в зависимостите два модула ‘“foo”: “file:/some/path”‘ и ‘FOO: “file:foo.tgz”‘, обработката на които ще доведе до изтриване на съдържанието на директорията /some/path и записването на съдържанието на foo.tgz. Втората проблема позволява презаписване на файлове чрез манипулиране с символични връзки.

Уязвимости са отстранени в версиите Node.js 12.22.6 и 14.17.6, npm CLI 6.14.15 и 7.21.0, както и в отделни версии на пакета tar 4.4.19, 5.0.11 и 6.1.10. След получаване на информация за проблема в рамките на инициативата 'bug bounty', GitHub изплати на изследователите 14500 $ и сканира съдържанието на репозитория, в който не бяха установени опити за експлоатация на уязвимостите. За защита от посочените проблеми GitHub също така въведе забрана за публикуване на NPM пакети в репозитория, включващи символични линкове, твърди линкове и абсолютни пътища.

Източник: opennet.ru