🥇Уязвимост в NPM, позволяваща промяна на произволни файлове при инсталиране на пакет

В обновлението на пакетния мениджър NPM 6.13.4, включен в доставката на Node.js и използван за разпространение на модули на езика JavaScript, са отстранени три уязвимости (CVE-2019-16775, CVE-2019-16776 и CVE-2019-16777), позволяващи модифициране или презаписване на произволни системни файлове при инсталирането на пакет, подготвен от злоупотребител. Като обходен метод за защита може да се използва опцията "--ignore-scripts", която забранява изпълнението на вградени пакетни обработчици. Разработчиците на NPM анализираха наличните в репозитория пакети и не откриха следи от използване на установените проблеми за извършване на атаки.

CVE-2019-16777 се проявява в изданията до 6.13.4 и позволява презаписване на системни изпълними файлове в процеса на глобално инсталиране на пакет. Могат да бъдат заменяни само файлове в целевата директория, където се инсталират изпълними файлове (обикновено /usr/local/bin).

CVE-2019-16775 и CVE-2019-16776 се проявяват в изданията до 6.13.3 и позволяват записването на произволен файл чрез създаване на символична връзка към файлове извън каталога с модули (node_modules) или чрез манипулации с полето bin в package.json (в полето bin беше допустимо използването на пътища с "../").

Източник: opennet.ru